IKEにDDoSリフレクション攻撃の脆弱性、主要ベンダーに広範な影響

鍵交換に使われるIKE／IKEv2にDDoS増幅攻撃の脆弱性が見つかった。主要ベンダーやオープンソースプロジェクトに広く影響が及ぶ可能性がある。

[鈴木聖子，ITmedia]

　米カーネギーメロン大学のセキュリティ機関CERT/CCは2月29日、暗号化通信に広く使われているプロトコル「Internet Key Exchange」（IKE）の脆弱性に関する情報を公開した。サービス妨害（DoS）攻撃の増幅に利用される恐れがあるとされ、主要ベンダーやオープンソース製品が影響を受ける可能性が指摘されている。

Akamaiの注意喚起

　IKEおよびIKEv2は暗号化通信における鍵交換に使われるプロトコルで、主要ベンダーやオープンソースプロジェクトの製品に幅広く使われている。その実装に関する脆弱性が米Akamaiの研究チームに発見され、分散型サービス妨害（DDoS）攻撃の規模を増幅させるリフレクションDDoS攻撃に利用される可能性があることが分かった。

　この脆弱性は、認証を受けないリモートの攻撃者に利用される恐れがあり、場合によっては攻撃の規模が10倍にも増幅される可能性がある。共通脆弱性評価システム（CVSS）での評価値は7.8（最大値は10.0）と位置付けている。

　現時点で完全な解決策は確認されていない。CERT/CCでは回避策として、ルータやファイアウォールを使って信頼できるIPアドレス以外からのIPパケットを遮断するEgressフィルタリングを設定し、ソースIP偽装を防ぐ方法を挙げている。

　CERT/CCでは影響を受ける可能性のあるベンダー（現時点では未確認）として、Apple、Google、Microsoftなどのインターネット大手から日立、IBM、NECといったシステム開発大手、OpenBSDやRed Hatなどのオープンソース関連に至るまで、主要企業や製品多数を挙げている。

主要ベンダーでの影響について（CERT/CCより）