BGPルート広告の管理ツール「GoCast」に複数の深刻な脆弱性 - アップデート未提供

ネットワーク間で経路情報を共有する「BGP」のルート広告について管理機能を提供するGoベースのソフトウェア「GoCast」に複数の深刻な脆弱性が判明した。アップデートは提供されておらず、外部からのアクセスを制限するなど対策が呼びかけられている。

「同1.1.3」にループバックインターフェースのラベルを作成する際に用いる名前やNATのパラメータを通じて、OSコマンドインジェクションが可能となる脆弱性「CVE-2024-28892」「CVE-2024-29224」が明らかとなったもの。

また「HTTP API」がデフォルトで認証なしに有効化されている「CVE-2024-21855」もあわせて判明した。いずれもCisco SystemsのTalosチームが報告したもので、細工されたHTTPリクエストを通じて悪用されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、ともに「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社より報告を受けた開発者は、5月27日に近日パッチをリリース予定であると回答したとしているが、ソースリポジトリにおいて「同1.1.3」が最新版となっており、現地時間12月22日時点でアップデートは公開されていない。

Cisco Systemsは利用者に対して、APIを無効化したり、同ソフトウェアに対する信頼できないアクセスを制限するなど、対策を講じるよう注意を呼びかけている。

（Security NEXT - 2024/12/23 ）ツイート