研究者が脆弱性「TunnelCrack」を発表 - 多くのVPNクライアントに影響

今回発表された「TunnelCrack」の脆弱性に関して修正が難しいケースや、修正の予定がないケースもある。

研究チームでは、「iOS」において「LocalNet攻撃」を修正することが難しいと指摘。OS上で提供されている「API」の仕様で信頼性に影響を及ぼすおそれがあることに起因するという。

研究チームは、「VPN」のためにAppleがより堅牢な「API」を提供し、アプリが実装できる環境を提供する必要があると主張している。

「Windows」にもともと実装されている「VPNクライアント」も「LocalNet攻撃」と「ServerIP攻撃」の影響を受ける。

研究チームではマイクロソフトに対して報告を行ったが、同社はこれら挙動について設計上の仕様であるとの見方を示し、攻撃する障壁も高いとしてパッチをリリースする予定はないとの回答があったという。

今回発表した脆弱性は、VPNのトンネルを確立する際に生じる問題だが、マイクロソフトはトンネル確立後にこうした攻撃は不可能と返答しており、研究チームでは攻撃の内容について誤解しているとの指摘を行ったという。

（Security NEXT - 2023/08/10 ）ツイート