OpenVPNに複数の脆弱性 リモートコード実行を可能にするリスク：セキュリティニュースアラート

MicrosoftはOpenVPNに複数の脆弱性が存在すると伝えた。これらの脆弱性が悪用された場合、サービス運用妨害やローカル権限昇格、リモートコード実行を引き起こすことが可能になるという。

[後藤大地，有限会社オングス]

　Microsoftは2024年8月8日（現地時間）、「OpenVPN」に複数の脆弱（ぜいじゃく）性があると伝えた。これらの脆弱性が悪用された場合、サービス運用妨害やローカル権限昇格、リモートコード実行などの重大なリスクになる可能性がある。

OpenVPNに複数の脆弱性が見つかる　急ぎ対処を

　報告されている脆弱性の情報（CVE）は以下の通りだ。

• CVE-2024-27459：　攻撃者がデータを送信することでスタックオーバーフローを引き起こし、より高い特権で任意のコードを実行できる可能性がある
• CVE-2024-24974：　OpenVPNのサービスパイプにリモートからアクセスできるようになっており、リモートの攻撃者が特権を持つOpenVPNの対話型サービスと対話できる可能性がある
• CVE-2024-27903：　「Windows」のOpenVPNプラグインが任意のディレクトリからロードされてしまう可能性がある。攻撃者は特権を持つOpenVPNインタラクティブサービスと対話するために使用可能な任意のプラグインをロードできる
• CVE-2024-1305：　OpenVPNで使用されるターミナルアクセスポイントドライバーに存在する脆弱性。受信書き込み操作のサイズデータを適切にチェックしないため、カーネル空間で任意のコードが実行されてしまう可能性がある

　CVE-2024-27459やCVE-2024-24974、CVE-2024-1305の脆弱性はWindowsプラットフォームが影響を受けるとされ、CVE-2024-1305はWindowsだけでなく、「Android」「iOS」「macOS」「BSD」も影響を受けるとされている。

　影響を受けるOpenVPNのバージョンは以下の通りだ。

• OpenVPN 2.5.9およびこれより前のバージョン
• OpenVPN 2.6.9およびこれより前のバージョン

　修正されたOpenVPNのバージョンは以下の通りだ。

• OpenVPN 2.5.10およびこれ以降のバージョン
• OpenVPN 2.6.10およびこれ以降のバージョン

　OpenVPNはネットワーク間の安全な通信を確保するための重要なツールであり、脆弱性の修正はエンタープライズシステムを保護するために必要不可欠とされている。該当するOpenVPNのバージョンを利用しているユーザーおよび企業はMicrosoftが提供している情報を確認するとともに速やかに最新のセキュリティパッチを適用することが推奨される。