Fireware OSのSIPプロキシに認証不要のコード実行脆弱性、修正版あり
WatchGuardのFireware OSで、SIPプロキシを経由して認証なしに任意のコードを実行される脆弱性が見つかりました。SIPプロキシを使うポリシーを設定しているファイアウォール運用者は、版を確認して修正版へ更新してください。
急ぎ度: 早めに
CVSS v4は9.2で認証不要のリモートコード実行ですが、KEVへの掲載やEPSSの値は確認できず、修正版12.5.22が出ているため、SIPプロキシを使う環境から順に更新する段階です。
関係があるか
Fireware OSが動くWatchGuardのファイアウォールで、SIPプロキシを使うポリシーを設定している組織が当てはまります。IP電話やSIPサーバーへの通信をファイアウォールで中継している拠点が典型です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Fireware OS | >= 12.0, < 12.5.22 | 12.5.22 |
確かめ方
- 1管理画面やWatchGuard System Managerで、各機器のFireware OSの版を確認します。
- 2ポリシー一覧を開き、SIPプロキシのアクションを割り当てたポリシーが有効かどうかを確認します。
- 3版が12.0以上12.5.22未満で、SIPプロキシを使うポリシーがあれば、この脆弱性の対象です。
何が起きたか
Fireware OS 12.0以上12.5.22未満に、SIPプロキシの処理を突かれると、認証なしで機器上の任意のコードを実行される脆弱性があります。修正版は12.5.22です。
境界に置く機器で認証が要らないため重く見えますが、筆者はSIPプロキシを使っていない環境なら緊急度は下がると見ています。一方で、SIPプロキシを使う拠点は、通常の更新サイクルを待たずに先に修正版を当てたほうがよいでしょう。
原因は、SIPプロキシが受け取ったリクエストを処理するときのスタック上のバッファオーバーフローです。CWEはCWE-120、CWE-121、CWE-787が付いています。
攻撃の流れ
-
1
到達できる状態
SIPプロキシを使うポリシーが、攻撃者の通信が届く位置で有効になっています。
-
2
細工した要求
攻撃者が、そのポリシーを通る形で細工したSIPのリクエストを送ります。
-
3
バッファ溢れ
SIPプロキシの処理でスタック上のバッファがあふれます。
-
4
コード実行
認証を経ずに、機器上で攻撃者の指定したコードが動きます。
どう悪用されるか
認証は要りません。ネットワーク越しに、SIPプロキシを使うポリシーを通る通信として細工したリクエストを送れる位置にいれば成立し、利用者の操作も要りません。ベクターには攻撃の前提条件が付いており、SIPプロキシを使うポリシーの存在がその一つと読めます。
悪用されると、機器上で任意のコードが実行されます。CVSS v4の評価では、機器上の機密性・完全性・可用性のいずれにも高い影響が見込まれています。ファイアウォールの設定や通過する通信への影響は、ベンダーの告知で確認してください。
今すぐやること
-
1
対象機器と版を洗い出す
Fireware OSが動く機器を一覧にし、12.0以上12.5.22未満のものを特定します。拠点の小型機も忘れずに含めます。
-
2
SIPプロキシを使う機器を優先する
SIPプロキシを割り当てたポリシーが有効な機器を、更新の最優先にします。外部からSIPの通信が届く構成は特に先に扱います。
-
3
修正版12.5.22へ更新する
更新前に設定のバックアップを取り、保守時間帯に修正版へ更新します。IP電話の通話が途切れる可能性があるため、利用部門へ事前に周知します。
-
4
更新後に版と通話を確認する
管理画面で版が修正版になったことと、SIPを使う通話が従来どおり通ることを確かめます。
-
5
ベンダーの告知を見直す
WatchGuardのPSIRTのページに追記や、版ごとの修正情報が出ていないかを定期的に確認します。
すぐ更新できないとき
すぐに更新できない場合は、SIPプロキシを使うポリシーを一時的に無効にするか、SIPプロキシのアクションを外すことで、悪用経路に当たる通信を止められます。この場合はSIP通話が通らなくなるため、業務への影響を先に確認してください。ベンダーが公式の回避策を出しているかは、PSIRTの告知で確認してください。
背景
Fireware OSは、WatchGuardのファイアウォール機器で動くOSです。SIPプロキシは、IP電話などの通話制御に使うSIPの通信をファイアウォール上で中継し、内容を処理する機能で、拠点とIP電話サービスをつなぐ構成でよく使われます。
今回の問題は、この中継処理の中にあります。ファイアウォールは社内外の境界に置かれるため、機器上でコードが動くと、通過する通信の扱いにまで影響が及ぶおそれがあります。SIPを使う拠点ほど、境界機器の更新を後回しにしにくい理由になります。
よくある質問
Q.SIPプロキシを使っていなければ、更新しなくてよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかや、攻撃コードが出回っているかは公表されていません。
- 12.0より前の版と、12.5系以外の系統が影響を受けるか、その修正版があるかは公表されていません。
- ベンダーが公式の回避策を示しているかは、PSIRTの告知で確認が必要です。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A stack-based buffer overflow vulnerability in Fireware OS's SIP proxy allows a remote, unauthenticated attacker to execute arbitrary code by sending a specially crafted request through a policy that uses the SIP proxy.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com