金融&IT業界の情報ポータルサイト
 
 


 
【IT業界ニュース】 >> 記事詳細

2019/08/13

【エフセキュア】エフセキュア、F5 BIG-IPの重大な脆弱性について警告

| by:ウェブ管理者
エフセキュアは、F5 Networks社が提供するBIG-IPの一般的な構成における重大な脆弱性を発見したと発表しました。攻撃者は脆弱性を持つBIG-IPの設定を悪用して企業/団体のネットワークに侵入し、その侵害済みデバイスによって管理されているWebサービスを使用している個人に対してさまざまな攻撃を仕掛けることができます。

先進的サイバー・セキュリティ・テクノロジーのプロバイダであるF-Secure (本社: フィンランド・ヘルシンキ、CEO: Samu Konttinen、日本法人: 東京都港区、以下、エフセキュア) は、同社のセキュリティコンサルタントであるChristoffer Jerkeby (クリストファー・ジャーカビー) が、F5 Networks社が提供するBIG-IPの一般的な構成における重大な脆弱性を発見したと発表しました。攻撃者は脆弱性を持つBIG-IPの設定を悪用して企業/団体のネットワークに侵入し、その侵害済みデバイスによって管理されているWebサービスを使用している個人に対してさまざまな攻撃を仕掛けることができます。エフセキュアはBIG-IPのユーザに対してこの脆弱性に関する警告を発し、対応を呼びかけています。

BIG-IPは、アプリケーションを最適かつセキュアに配信し、企業システムの運用を最大限に効率化するための機能を持つアプリケーショントラフィック管理装置として、人々にWebサービスを提供する大企業、金融機関、そして政府機関などにおいて使用されています。今回発見された脆弱性により、攻撃者はコードの不備を利用してネットワークに侵入し、何の痕跡も残さずにさまざまな目的を果たすことができます。このセキュリティ上の本質的な欠陥は、iRules (ネットワークトラフィックの管理に使用されるBIG-IP Local Traffic Manager で使用されるTclベースのスクリプト言語) に存在します。特定のコーディング手法により、攻撃者は任意のTclコマンドを挿入でき、ターゲットとなるTclスクリプトのセキュリティコンテキストにおいて実行される可能性があります。

攻撃者はこのような安全でない設定のiRuleの悪用に成功すると、さらなる攻撃を仕掛けるために侵入先のBIG-IPを足掛かりにし、ユーザに重大な侵害をもたらす可能性があります。また、Webトラフィックを傍受して操作する可能性があり、認証資格情報やアプリケーションの秘密などの機密情報が漏洩する可能性があります。また、侵害を受けた企業/団体のWebサービスのユーザを標的として攻撃する可能性もあります。

脆弱なシステムを悪用することは、Webリクエストの一部としてコマンドやコードを送信するのと同じくらい簡単なケースもあり、その技術が攻撃のために実行されます。さらは、侵入先のデバイスが攻撃者の行動を記録せず、攻撃の証拠が残らないケースもあります。その他には、攻撃者がエクスプロイト後の活動の証拠を含むログを削除する可能性があり、これによりインシデントの調査が著しく妨げられるケースも発生します。

エフセキュアのシニアセキュリティコンサルタントであり、このBIG-IPの脆弱性を発見したChristoffer Jerkebyは、次のように警告を発しています。


原文はこちら
https://prtimes.jp/main/html/rd/p/000000290.000001340.html

16:08 | IT:一般
 

【免責事項】
サイト掲載情報の正確性、および完全性については最善を尽くしておりますが、その内容を保証するものではございません。また利用者が当サイト、およびサイトに関連するコンテンツ、リンク先サイトにおける一切のサービス等を利用されたことに起因、または関連して生じた一切の損害(間接的、直接的を問わず)について、当社、当サイト、投稿者および情報提供者は一切の責任を負いません。

Copyright © 2010- GoodWay Inc. All rights reserved.