IKEにDDoSリフレクション攻撃の脆弱性、主要ベンダーに広範な影響
鍵交換に使われるIKE/IKEv2にDDoS増幅攻撃の脆弱性が見つかった。主要ベンダーやオープンソースプロジェクトに広く影響が及ぶ可能性がある。
米カーネギーメロン大学のセキュリティ機関CERT/CCは2月29日、暗号化通信に広く使われているプロトコル「Internet Key Exchange」(IKE)の脆弱性に関する情報を公開した。サービス妨害(DoS)攻撃の増幅に利用される恐れがあるとされ、主要ベンダーやオープンソース製品が影響を受ける可能性が指摘されている。
IKEおよびIKEv2は暗号化通信における鍵交換に使われるプロトコルで、主要ベンダーやオープンソースプロジェクトの製品に幅広く使われている。その実装に関する脆弱性が米Akamaiの研究チームに発見され、分散型サービス妨害(DDoS)攻撃の規模を増幅させるリフレクションDDoS攻撃に利用される可能性があることが分かった。
この脆弱性は、認証を受けないリモートの攻撃者に利用される恐れがあり、場合によっては攻撃の規模が10倍にも増幅される可能性がある。共通脆弱性評価システム(CVSS)での評価値は7.8(最大値は10.0)と位置付けている。
現時点で完全な解決策は確認されていない。CERT/CCでは回避策として、ルータやファイアウォールを使って信頼できるIPアドレス以外からのIPパケットを遮断するEgressフィルタリングを設定し、ソースIP偽装を防ぐ方法を挙げている。
CERT/CCでは影響を受ける可能性のあるベンダー(現時点では未確認)として、Apple、Google、Microsoftなどのインターネット大手から日立、IBM、NECといったシステム開発大手、OpenBSDやRed Hatなどのオープンソース関連に至るまで、主要企業や製品多数を挙げている。
関連記事
- Cisco ASAシリーズに深刻な脆弱性、CVSS値は最大
危険度はCVSS最大値の10.0に達する。UDPパケット1つで悪用できてしまう恐れもあり、500番UDPポートは既にトラフィックの増大が見られるという。 - NTPに脆弱性、システム時刻を変更される恐れ
被害者はntpdプロセスが悪質な時刻源と同期させられて、攻撃者の任意の時刻に変更されてしまう恐れがある。 - DDoS攻撃が増加傾向、執拗なShellshock攻撃も
Akamaiによると、4〜6月期に発生したDDoS攻撃は前年同期比132%増、前期比では7%増。「DDoS攻撃やWebアプリケーション攻撃が投げかける脅威は四半期ごとに増大し続けている」という。 - UPnP悪用のDDoS攻撃が増加、対策が急務に
機器メーカーなどの対策とユーザーによる対策の適用が急がれるとAkamaiは指摘する。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.