セキュリティ

SECURITY

公開：2024-12-22

【CVE-2024-12654】FabulaTech USB over Network 6.0.6.1にnull pointer dereferenceの脆弱性、ベンダー対応の遅れで深刻度が上昇

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• FabulaTech USB over Network 6.0.6.1の脆弱性が判明
• null pointer dereferenceによるサービス拒否の可能性
• ベンダーからの応答がなく対応が遅延

FabulaTech USB over Network 6.0.6.1の深刻な脆弱性

FabulaTechは2024年12月16日にUSB over Network 6.0.6.1のIOCTハンドラーライブラリftusbbus2.sysにおいて、function 0x220408でnull pointer dereferenceの脆弱性が発見されたことを公開した。VulDBによって報告されたこの脆弱性は【CVE-2024-12654】として識別され、ローカルからの攻撃により深刻な影響を及ぼす可能性がある。^[1]

この脆弱性はCWEによってNULLポインターの逆参照（CWE-476）とサービス拒否（CWE-404）に分類されており、CVSSスコアはバージョン4.0で6.8（MEDIUM）と評価されている。攻撃者は特権レベルは必要とするものの、ユーザーインターフェースの操作なしで攻撃を実行できる可能性があるとされている。

VulDBはFabulaTechに対して早期に脆弱性情報を開示したが、ベンダーからの応答は得られていない状態が続いている。エクスプロイトコードは既に公開されており、影響を受けるシステムのセキュリティリスクが高まっている状態だ。

CVE-2024-12654の影響範囲と深刻度

null pointer dereferenceについて

null pointer dereferenceとは、プログラムがメモリ上のNULLポインタを参照しようとした際に発生する深刻なプログラミングエラーのことを指す。主な特徴として、以下のような点が挙げられる。

• プログラムのクラッシュやフリーズを引き起こす可能性
• サービス拒否攻撃に悪用される可能性
• メモリ管理の不適切な実装により発生

今回のFabulaTech USB over Networkの脆弱性では、IOCTハンドラーのfunction 0x220408においてnull pointer dereferenceが発生する可能性が確認されている。この種の脆弱性は適切なポインタ検証を実装することで防止できるが、ベンダーの対応が得られていないため、現時点で修正プログラムは提供されていない。

USB over Networkの脆弱性に関する考察

USB over Network 6.0.6.1の脆弱性は、リモートデバイス管理の信頼性に大きな影響を与える可能性がある。特にエンタープライズ環境では、USBデバイスの共有機能が業務効率化に重要な役割を果たしているため、この脆弱性の影響は無視できないものとなるだろう。

今後の課題として、ベンダーの脆弱性対応プロセスの改善が挙げられる。早期の情報開示にも関わらず適切な対応が得られていない現状は、セキュリティインシデント発生時の被害拡大リスクを高めている。ユーザー企業は代替ソリューションの検討や、影響を受けるシステムの隔離などの暫定的な対策を講じる必要があるだろう。

長期的には、USBデバイス仮想化ソフトウェアの開発において、セキュリティバイデザインの考え方を強化することが重要となる。特にドライバーレベルでの脆弱性は、システム全体に深刻な影響を及ぼす可能性があるため、開発段階からのセキュリティレビューの徹底が望まれる。

参考サイト

1. ^ CVE. 「CVE-2024-12654 | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-12654, (参照 24-12-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧