HPE AOS-10に認証不要で任意コード実行の欠陥
HPEのAOS-10に、ログインなしでネットワーク越しに任意のコードを実行されるおそれのあるバッファオーバーフローの弱点が見つかりました。深刻度はCVSS v3で最大の10.0です。AOS-10を使っている組織は、HPEの告知で自社の版と修正版を確認し、対応を進めてください。
急ぎ度: 至急
認証も利用者の操作も不要でネットワーク越しに悪用でき、深刻度が最大(CVSS 10.0)のため、悪用の確認が公表されていなくても早い確認が必要です。
関係があるか
HPEのAOS-10を使った無線LANなどのネットワーク環境を運用している組織が対象です。下記の3つの版の範囲に当てはまる場合、影響を受けるおそれがあります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HPE AOS-10(10.8系) | 10.8.0.0 以上 10.8.1.1 以下 | 修正版の番号は公表内容を確認できていません。HPEの告知で確認してください |
| HPE AOS-10(10.6系・10.7系) | 10.6.0.0 以上 10.7.2.6 以下 | 修正版の番号は公表内容を確認できていません。HPEの告知で確認してください |
| HPE AOS-10(10.3系・10.4系) | 10.3.0.0 以上 10.4.1.13 以下 | 修正版の番号は公表内容を確認できていません。HPEの告知で確認してください |
確かめ方
- 1社内で AOS-10 が動作している機器(無線LAN関連の機器など)を洗い出し、機器管理台帳や管理画面で現在の版を確認します。
- 2確認した版を上の3つの範囲と照らし合わせます。範囲に入っていれば対象です。
- 3範囲に入らない版でも、10.5系など上の表に載っていない版や古い版が対象かどうかは、HPEのセキュリティ告知(hpesbnw05162en_us)で確認してください。
- 4どの機器やコンポーネントが影響を受けるかは現時点で明らかになっていません。保守ベンダーやHPEに、自社の構成が該当するかを問い合わせると確実です。
何が起きたか
HPEのAOS-10に、バッファオーバーフローと呼ばれる種類のプログラムの欠陥が見つかりました。ログインしていない第三者が、ネットワーク越しにこの欠陥を突くと、機器の上で任意のプログラムを実行できてしまうおそれがあります。つまり、機器を外部から遠隔操作される可能性があるということです。
バッファオーバーフローは、プログラムが用意したデータの置き場所よりも多くのデータを書き込んでしまい、本来触れてはいけない領域を書き換えてしまう欠陥です。置き場所の大きさを確認しないまま受け取った場合に起こります。
評価はCVSS v3で10.0(最高値)です。評価の内訳は次のとおりです。
- ネットワーク経由で攻撃できる
- 攻撃の難易度が低い
- 事前の認証が不要である
- 利用者の操作が不要である
- 影響が脆弱な部分の外にも及ぶ
- 機密性・完全性・可用性のすべてで影響が大きい
弱点の詳しい技術的な説明は公表されていません。どの機能やサービスが原因なのかも、現時点で明らかになっていません。詳細と修正版はHPEのセキュリティ告知で確認してください。
攻撃の流れ
-
1
到達できる
攻撃者が、対象のAOS-10機器へネットワーク経由で通信できる位置にいます。
-
2
不正なデータ送信
ログインせずに、機器の処理を想定外の状態にするデータを送ります。
-
3
メモリを破壊
バッファオーバーフローにより、機器のメモリ上の本来触れない領域が書き換えられます。
-
4
コード実行
攻撃者の用意したプログラムが機器上で動き、機器を遠隔操作されるおそれがあります。
-
5
被害が拡大
機器の設定や通信内容が漏れたり、他の社内システムへの足がかりにされたりするおそれがあります。
どう悪用されるか
悪用に必要な条件は少ないとされています。評価上は、ネットワーク越しに攻撃でき、事前のログインも、管理者や利用者の操作も要りません。攻撃の難易度も低いとされています。ただし、脆弱な機能がどのネットワークから到達できるのか(インターネット側か、社内や管理用のネットワークだけか)は公表されていません。自社の構成での到達しやすさは、HPEの告知と自社のネットワーク設計を照らして判断する必要があります。
悪用された場合は、機器上で任意のコードを実行され、機器を乗っ取られるおそれがあります。評価では機密性・完全性・可用性のすべてに大きな影響があるとされ、影響が脆弱な部分の外にも及ぶ点も指摘されています。機器の設定や通信の情報が漏れたり、通信が止まったり、そこから社内の別の機器へ侵入されたりする可能性があります。
実際の攻撃での悪用が確認されたという情報は、現時点で明らかになっていません。ただし、認証不要で遠隔からコード実行に至る種類の弱点は、公表後に攻撃の対象になりやすいため、確認と更新を後回しにしないことをお勧めします。
今すぐやること
-
1
HPEの告知を読み、修正版を確認する
HPEのセキュリティ告知(hpesbnw05162en_us)で、対象の機器、修正版の番号、回避策の有無を確認します。
-
2
AOS-10を使う機器と版を洗い出す
社内や拠点にあるAOS-10搭載機器を一覧にし、現在の版を確認します。対象は 10.3.0.0〜10.4.1.13、10.6.0.0〜10.7.2.6、10.8.0.0〜10.8.1.1 です。
-
3
修正版へ更新する計画を立てて実施する
対象の版が見つかった機器は、HPEが示す修正版へ更新します。無線LANが止まる時間が出るため、拠点ごとの更新順序と作業時間帯を調整してください。事前に設定のバックアップを取っておきます。
-
4
機器への到達経路を絞る
更新までの間、対象機器に通信できる範囲を必要最小限にします。特に、インターネット側や信頼できないネットワークから機器へ直接届く経路がないかを確認します。
-
5
不審な兆候を確認する
機器の再起動、設定の変更、見覚えのない管理者アカウントや通信先がないかを、ログや監視で確認します。不審な点があれば、更新の前にログを保全し、HPEや保守ベンダーに相談してください。
すぐ更新できないとき
回避策が公表されているかどうかは、現時点で明らかになっていません。HPEの告知で確認してください。修正版を当てるまでの暫定措置としては、対象機器へ通信できる送信元をファイアウォールなどで必要な範囲に限る方法があります。ただし、脆弱な機能がどの経路で到達できるのかは公表されていないため、これで攻撃を防げる保証はありません。あくまで修正版適用までの時間を稼ぐ手段と考えてください。
背景
AOS-10は、HPEが提供するネットワーク機器向けの基盤ソフトウェアで、企業の無線LANなどの運用に使われます。この種の機器は社内ネットワークの入口や中心に置かれ、多くの通信が通ります。そのため、乗っ取られると影響が広くなりやすい性質があります。また、一度設置すると更新が後回しになりやすい点も課題です。
バッファオーバーフローは、C言語などで書かれたプログラムでは昔から繰り返し問題になってきた種類の欠陥です。ネットワーク機器やゲートウェイ製品では、認証前の処理で起きると、遠隔からのコード実行につながる深刻な弱点として扱われてきました。こうした弱点は、公表後に攻撃者が調べて悪用を試みることが多いため、更新の速さが被害を左右します。
よくある質問
Q.すでに攻撃に使われているのですか。
Q.修正版はありますか。
Q.自社の機器がインターネットから見えない構成なら、急がなくてよいですか。
まだ分かっていないこと
- 脆弱な機能やコンポーネント、影響を受ける機器の種類の詳細は、現時点で明らかになっていません。
- 修正版の番号と、回避策の有無は、HPEの告知で確認する必要があります。
- 実際の攻撃での悪用の有無や、攻撃コードの公開状況は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hewlett Packard Enterprise (HPE) | Unknown product |
10.8.0.0 〜 10.8.1.1 10.6.0.0 〜 10.7.2.6 10.3.0.0 〜 10.4.1.13 |
— — — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
No description provided
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security-alert@hpe.com
- web nvd.nist.gov
- web github.com