SonicWallのVPN関連で複数の脆弱性 - アップデートが公開

SonicWallは現地時間7月17日、18日にセキュリティアドバイザリ2件を公開し、VPN関連の脆弱性2件を明らかにした。

「CVE-2024-40764」は、「IPSec VPN」に明らかとなったヒープベースのバッファオーバーフローの脆弱性。リモートより認証なしにサービス拒否を引き起こすことが可能だという。

第7世代、第6世代あわせて31製品に影響があり、各製品に向けてアップデートを用意。回避策として「IPSec VPN」へのアクセスを信頼できるソースに制限するか、インターネット経由のアクセスを無効にすることを挙げている。

また「SonicWall SMA100」のクライアント「SSL VPN NetExtender」に「CVE-2024-29014」が判明した。Windows版において「EPCクライアント」の更新処理を行う際、任意のコードを実行されるおそれがある。

クライアント側の脆弱性としており、同社アプライアンスは同脆弱性の影響を受けない。同社は脆弱性を修正した「同10.2.341」を用意している。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「CVE-2024-40764」が「7.5」、「CVE-2024-29014」が「7.1」と評価されている。重要度はともに上から2番目にあたる「高（High）」とレーティングした。

（Security NEXT - 2024/07/19 ）ツイート