JVNVU#96491057
複数の組み込み TCP/IP スタックにメモリ管理の不備に起因する複数の脆弱性

複数の組み込み TCP/IP スタックの実装に、メモリ管理の不備に起因する複数の脆弱性が発見されました。これら一連の脆弱性は「AMNESIA:33」と呼称されています。

組み込み TCP/IP スタックとして以下を使用している製品

• uIP Version 1.0 およびそれ以前
  • uIP は開発が終了しています
• Contiki-OS (uIP)  Version 3.0 およびそれ以前
  • Contiki-OS は開発が終了しています
• Contiki-NG (uIP) Version 4.5 およびそれ以前
• picoTCP Version 1.7.0 およびそれ以前
  • picoTCP は開発が終了しています
• picoTCP-NG Version 2.0.0 およびそれ以前
• FNET Version 4.6.3
• Nut/Net Version 5.1 およびそれ以前

リアルタイム OS や IoT 製品をはじめとした多くの製品で使用されている複数の組み込み TCP/IP スタックで、メモリ管理の不備に起因する複数の脆弱性が発見されました。
脆弱性の深刻度や影響範囲は製品によって異なります。詳細については、一連の脆弱性を発見した Forescout が提供する情報を確認してください。また、Forescout は本脆弱性の検出ツールを公開しています。

脆弱性による影響は当該製品を使用する環境により大きく異なりますが、遠隔の第三者によって、サービス運用妨害 (DoS) や任意のコードの実行が行われたり、機微な情報が漏えいしたりする可能性があります。

アップデートする
開発者が提供する情報をもとに、本脆弱性に対処したアップデートを適用してください。

なお、一般的に IoT 機器や組み込み機器をネットワークに接続する際は、以下の対策を実施することが推奨されます。

• ネットワークを切り分け、組み込み機器が直接インターネットに公開されるのを避ける
• セキュリティ機能を有効にし、不正なパケットの検出を可能にする
• 不審な通信を発見できるよう、ファイアウォールを利用する
• セキュリティの既定値群 (secure defaults) を確認し、利用しないサービスを無効化する
• ファームウェアを常に最新に保つ