Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SoftEther VPN」に複数脆弱性 - アップデートで修正

SoftEther VPNプロジェクトが提供する「SoftEther VPN」や商用版であるソフトイーサの「PacketiX VPN」に脆弱性が明らかとなった。悪用は難しいが、国家レベルであればインターネット経路上の中間者攻撃も理論上可能だという。

「SoftEther VPN」では6件の脆弱性「CVE-2023-27395」「CVE-2023-22325」「CVE-2023-32275」「CVE-2023-27516」「CVE-2023-32634」「CVE-2023-31192」が判明。商用版の「PacketiX VPN」では、「CVE-2023-27395」「CVE-2023-22325」を除く4件の影響を受けるという。

「CVE-2023-27395」はダイナミックDNSのクライアント機能に明らかとなったヒープベースのバッファオーバーフローの脆弱性。一方「CVE-2023-32634」は、ローカル上の特定条件下において中間者攻撃を受けるおそれがある。

また「CVE-2023-27516」は、管理者パスワードを設定しないままリモート管理を行った場合に、パスワードの変更が可能となる。それぞれ共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」「7.8」「7.0」とした。他脆弱性のCVSS基本値はいずれも「6.0」未満と評価されている。

これら脆弱性はCisco SystemsのLilith氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

SoftEther VPNプロジェクトは、これら脆弱性を解消した新ビルド「VPN 4.42 Build 9798 RTM」を6月30日に公開。今回修正した脆弱性について、通常の使用環境や使用方法であれば、不正侵入に悪用されるリスクは比較的低く、実際の攻撃は容易ではないと説明している。

(Security NEXT - 2023/07/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Firefox 118」が公開に - 機能強化や脆弱性修正など実施
ブラウザ「Chrome」にアップデート - ゼロデイ脆弱性に対応
セミナー参加者にメール誤送信、メアド流出 - 横須賀市
Apple、「macOS Sonoma 14」をリリース - 脆弱性61件を修正
新型コロナウイルス感染症対策事業の関連公文書を紛失 - 三重県
事業者向けECサイトにサイバー攻撃 - ソフトバンク関連会社
Python向けライブラリ「gevent」に脆弱性 - アップデートを
「VMware Aria Operations」に脆弱性 - ホットフィクスを公開
セミナー案内メール、宛先に別人氏名 - 大阪府
県立高校でメール誤送信、高校生活入門講座参加者のメアド流出 - 三重県