「Webmin」にループDoS攻撃受ける脆弱性 - 最新版に更新を

ウェブベースのシステム管理ツール「Webmin」「Virtualmin」がループDoS攻撃へ悪用されるおそれがあることがわかった。8月のアップデートで修正済みだという。

両ソフトウェアにおいて、「UDPプロトコル」の実装に問題があり、ループ状態が生じてサービス拒否に陥る脆弱性「CVE-2024-2169」に悪用されるおそれがあることが判明したもの。

「UDPサービス」のディスカバリに用いる「UDP 10000番ポート」では、任意のUDPリクエストに応答するが、送信元のIPアドレスを偽造したUDPパケットを送信されると、ホスト間で無限にトラフィックのやり取りが発生。ループDoS攻撃に悪用されるおそれがある。

現地時間7月24日にリリースされた「Virtualmin 7.20.2」、8月12日にリリースされた「Webmin 2.202」にて同問題は修正済みだという。

また一時的な回避策として、インターネット経由のアクセスに対し、UDP 10000番ポートをブロックする緩和策などもアナウンスされている。

（Security NEXT - 2024/09/06 ）ツイート