VPNソフトウェアの脆弱性

VPN ソフトウェアのバッファ管理の脆弱性に対し、遠隔の第三者からの不正パケットを用いたサービス運用妨害攻撃により、VPN ソフトウェアの不正終了や無限ループなどが発生し IPsec/IKE 通信が影響を受ける可能性

報告日

2005/08/10

SEILシリーズの該当状況

影響なし。ただし、該当コードは下記機種およびファームウェアに内在します。

機種 バージョン
SEIL/Turbo 1.10 - 1.51
SEIL/neu 2FE Plus 1.00 - 1.51
SEIL/neu ver.2.x 2.00 - 2.27
SEIL/neu ver.1.x 1.52 - 1.93
SEIL/neu ATM 1.10 - 1.39

SEILシリーズへの影響内容

ソースコードレベルでの確認、および、実機における動作検証結果から、本脆弱性のSEILへの影響は無いと判断しました。

  1. ソースコード確認

    • SEIL シリーズでは、脆弱性を含む箇所よりも早い段階でバッファのチェックを行っています。 このため、受信した不正パケットは確実に破棄されます。

  2. 動作検証

    • 実際に不正パケットをSEILに受信させる動作検証を行い、IPsec/IKE の動作には影響が無いことを確認しています。

SEILシリーズにおける対応

前述の通り、SEILシリーズは本脆弱性の影響を受けません。 しかし、脆弱性を指摘されたコード自体は SEIL に内在しており、より安全性を高めるため、 下記ファームウェアで修正を適用しました。

以降のバージョンへの更新を推奨します。

機種 バージョン
SEIL/Turbo 1.52
SEIL/neu 2FE Plus 1.52
SEIL/neu ver.2.x 2.28
SEIL/neu ver.1.x 1.94
SEIL/neu ATM 1.40

設定による回避

なし

関連情報

  1. Common Vulnerabilities and Exposures (CVE) CAN-2005-0398

© Internet Initiative Japan Inc.