【CVE-2024-42365】Asteriskに重大な脆弱性、情報漏洩やDoSのリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Asteriskに不特定の脆弱性が存在
影響範囲は複数バージョンに及ぶ
情報取得、改ざん、DoS状態の可能性

AsteriskおよびCertified Asteriskの脆弱性

AsteriskおよびCertified Asteriskに不特定の脆弱性が存在することが明らかになった。この脆弱性はCVE-2024-42365として識別されており、CVSS v3による深刻度基本値は8.8（重要）と評価されている。影響を受けるバージョンは、asterisk 18.24.2未満、19.0.0以上20.9.1未満、21.4.0、Certified Asterisk 13.13.0、16.8となっている。^[1]

この脆弱性の攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは低く、利用者の関与は不要とされており、影響の想定範囲に変更はないとされている。機密性、完全性、可用性への影響はいずれも高いと評価されており、情報の取得や改ざん、サービス運用妨害（DoS）状態にされる可能性がある。

CWEによる脆弱性タイプ分類では、アクセス制御の不十分な粒度（CWE-1220）、危険なアクションで定義された権限（CWE-267）、その他（CWE-Other）が挙げられている。対策としては、ベンダアドバイザリまたはパッチ情報が公開されているため、参考情報を参照して適切な対策を実施することが推奨されている。

Asteriskの脆弱性の影響

項目	詳細
CVE識別子	CVE-2024-42365
CVSS v3基本値	8.8（重要）
影響を受けるバージョン	asterisk 18.24.2未満、19.0.0以上20.9.1未満、21.4.0、Certified Asterisk 13.13.0、16.8
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
想定される影響	情報取得、情報改ざん、サービス運用妨害（DoS）

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称であり、情報システムの脆弱性の深刻度を評価するための業界標準指標である。主な特徴として以下のような点が挙げられる。

0.0から10.0までの数値で脆弱性の深刻度を表現
攻撃の難易度や影響範囲などの要素を考慮
ベースメトリクス、時間的メトリクス、環境的メトリクスの3つの指標で構成

CVSSは脆弱性の優先順位付けやリスク評価に広く活用されている。本件のAsteriskの脆弱性ではCVSS v3基本値が8.8と高く評価されており、攻撃の容易さと潜在的な影響の大きさを示している。このスコアは、セキュリティ管理者がパッチ適用の緊急性を判断する上で重要な指標となる。

Asteriskの脆弱性に関する考察

Asteriskの脆弱性が明らかになったことは、VoIPシステムのセキュリティ管理の重要性を再認識させる出来事である。CVSSスコアが8.8と高いことから、この脆弱性の影響は深刻であり、早急な対応が求められる。特に、攻撃条件の複雑さが低く、利用者の関与が不要という点は、攻撃者にとって非常に魅力的なターゲットになり得ることを示唆している。

今後、この脆弱性を悪用した攻撃が増加する可能性が高く、未パッチのシステムがターゲットになる恐れがある。そのため、Asteriskを使用している組織は、速やかにパッチを適用するとともに、ネットワークの監視を強化し、不審な活動を検知する体制を整える必要がある。また、長期的には、脆弱性の早期発見と迅速な対応を可能にするセキュリティ体制の構築が求められるだろう。

さらに、この事例はオープンソースソフトウェアのセキュリティマネジメントの課題も浮き彫りにしている。Asteriskのような広く使用されているソフトウェアの脆弱性は、大規模な影響を及ぼす可能性がある。そのため、開発コミュニティとユーザー企業の間で、脆弱性情報の共有や対策の協力体制を強化することが今後ますます重要になってくるだろう。