検索
ニュース

詳報:libupnpに深刻な脆弱性、パッチ適用やUPnP無効化呼び掛け数千万台ものネットワーク機器に影響の恐れ

ルータやプリンタ、NASなどのネットワーク機器に採用されているUniversal Plug and Play(UPnP)プロトコルを実装したライブラリに、複数の深刻な脆弱性が見つかった。

PC用表示 関連情報
Share
Tweet
LINE
Hatena

 各国の主要メーカーがルータやプリンタ、NASなどのネットワーク機器に採用しているUniversal Plug and Play(UPnP)プロトコルを実装したライブラリに、複数の深刻な脆弱性が見つかった。膨大な数の製品に影響を及ぼす恐れがあり、US-CERTなどはメーカーや企業に対し、アップデートの適用や、UPnPを無効にするなどの対策を呼びかけている。

 US-CERTは1月29日、Portable SDK for UPnP Devices(libupnp)の脆弱性情報を公開した。それによると、libupnpでSSDPリクエストを処理する際に問題があり、バッファオーバーフローの脆弱性が複数存在する。libupnpを使ったデバイスは、WANインタフェース経由でUPnPを受け入れることもあり、インターネットから脆弱性を悪用される恐れがあるという。

 この脆弱性を突かれた場合、認証を受けない攻撃者によって、リモートからデバイス上で任意のコードを実行されたり、サービス妨害(DoS)状態を誘発されたりする恐れがある。

 US-CERTは、セキュリティ企業Rapid7の調査でlibupnpを使っていることが分かったメーカー200社以上に連絡を取っている。29日の時点で、このうちCisco Systems、富士通、Huawei Technologies、Linksys、NEC、Siemens、ソニーなどの製品が影響を受けることが判明した。また、JPCERTコーディネーションセンター(JPCERT/CC)と情報処理推進機構(IPA)によれば、古河電気工業などにも該当製品があるという。


US-CERTがまとめた、主なベンダでの影響

修正版ライブラリは提供されたものの……

 これら脆弱性に対処した更新版の「libupnp 1.6.18」は、1月29日に公開された。しかしRapid7によれば、各メーカーの対応には時間がかかることも予想され、出荷が打ち切られたような製品にはアップデートが配布されない可能性もある。

 libupnpの脆弱性は、Rapid7が同日発表したホワイトペーパーで指摘した問題の1つ。同社によれば、UPnPプロトコルにはほかにも複数のセキュリティ問題があり、世界で4000万〜5000万のネットワーク対応機器が危険にさらされているという。中でもlibupnpの脆弱性では、2300万以上のIPアドレスが、UDPパケットを使ってリモートでコードを実行される恐れがあるとした。

 また、MiniUPnPソフトウェアの脆弱性は、2年以上も前に修正されているにもかかわらず、330以上の製品がいまだに旧バージョンを使い続けていることが分かったと報告している。

 Rapid7は、ネットワーク上のUPnPエンドポイントでこれら脆弱性を検出できるフリーツール「ScanNow UPnP」をWindows向けに公開した。Mac OS XとLinuxではMetasploitの最新モジュールに同じ機能を持たせた。


Rapid7が公開したスキャンツール「ScanNow UPnP」

 こうしたツールを使って脆弱性がないかどうかをチェックし、もし見つかった場合はUPnPプロトコルを無効にするようRapid7は勧告。US-CERTも、ファイアウォールを使って信頼できないホストからUDP 1900番ポートへのアクセスを遮断するなどの対策を紹介している。

Copyright © ITmedia, Inc. All Rights Reserved.

Security & Trust 記事ランキング

  1. セキュリティ専門家も「何かがおかしいけれど、攻撃とは言い切れない」と判断に迷う現象が急増 EGセキュアソリューションズ
  2. 約9割の経営層が「ランサムウェアは危ない」と認識、だが約4割は「問題解決は自分の役割ではない」と考えている Vade調査
  3. 人命を盾にする医療機関へのランサムウェア攻撃、身代金の平均支払額や損失額は? 主な手口と有効な対策とは? Microsoftがレポート
  4. 6年間でAndroidにおけるメモリ安全性の脆弱性を76%から24%まで低減 Googleが語る「Safe Coding」のアプローチと教訓とは
  5. AIチャットを全社活用している竹中工務店は生成AIの「ブレーキにはならない」インシデント対策を何からどう進めたのか
  6. 英国政府機関が取締役にサイバーリスクを「明確に伝える」ヒントを紹介
  7. 「このままゼロトラストへ進んでいいの?」と迷う企業やこれから入門する企業も必見、ゼロトラストの本質、始め方/進め方が分かる無料の電子書籍
  8. ゼロトラストの理想と現実を立命館大学 上原教授が語る――本当に運用できるか? 最後は“人”を信用できるかどうか
  9. Google、「パスキー」のアップデートを発表 新たに導入された「パスワードマネジャーPIN」とは?
  10. MicrosoftがAD認証情報を盗むサイバー攻撃「Kerberoasting」を警告 検知/防御方法は?
ページトップに戻る