セキュリティ

SECURITY

公開：2025-01-16

【CVE-2020-1821】HuaweiのCOPSプロトコル実装に複数の脆弱性、IPS ModuleやNGFW Moduleなど多数の製品に影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• HuaweiのセキュリティアドバイザリによりCOPSプロトコルの脆弱性が公開
• 複数の製品バージョンでOOB読み取り脆弱性が確認
• 影響を受けるシステムのサービスが中断する可能性

HuaweiのCOPSプロトコル実装における複数の脆弱性

Huaweiは2024年12月28日に、同社の複数の製品におけるCommon Open Policy Service（COPS）プロトコルの実装に関する脆弱性情報を公開した。特定のデコード関数において受信データパケットを処理する際にOOB読み取りが発生する可能性があり、CVSSスコアは3.1で深刻度は低いと評価されている。^[1]

この脆弱性はHWPSIRT-2018-12275からHWPSIRT-2018-12280およびHWPSIRT-2018-12289として報告され、CVE-2020-1818からCVE-2020-1824までの7つのCVE IDが割り当てられている。NIP6300やNIP6600、Secospace USGシリーズなど複数の製品ラインに影響を与える可能性があるため、製品のバージョン確認が重要になるだろう。

影響を受ける製品バージョンには、IPS ModuleのV500R001C30からV500R005C00、NGFW ModuleのV500R002C00からV500R005C00、各種ハードウェア製品の特定バージョンが含まれている。この脆弱性が悪用された場合、影響を受けるデバイスでサービスの中断が発生する可能性がある。

Huawei製品の影響を受けるバージョン一覧

セキュリティアドバイザリの詳細はこちら

OOB読み取りについて

OOB（Out of Bounds）読み取りとは、プログラムが割り当てられたメモリ領域の範囲外からデータを読み取ろうとする脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• メモリバッファの境界を超えてデータにアクセス
• システムクラッシュやサービス中断の原因
• 機密情報の漏洩につながる可能性

HuaweiのCOPSプロトコル実装におけるOOB読み取りの脆弱性は、CWE-125として分類され、CVSSスコアは3.1で評価されている。この脆弱性は特定のデコード関数でデータパケットを処理する際に発生し、ネットワークを介した攻撃が可能だが、攻撃の複雑さは高いとされている。

HuaweiのCOPSプロトコル脆弱性に関する考察

HuaweiのCOPSプロトコル実装における脆弱性の発見は、セキュリティの観点から重要な意味を持っている。特に、複数の製品ラインに影響を与える可能性があることから、企業のシステム管理者は早急なバージョン確認と対策が必要になるだろう。しかし、CVSSスコアが低く評価されていることから、即時の対応は必須ではないと考えられる。

今後の課題として、複数の製品に共通する実装の見直しと、セキュアなプロトコル実装の標準化が挙げられる。脆弱性の特性上、サービス中断のリスクが存在するため、パッチ適用時の影響評価と段階的な展開が重要になってくるだろう。企業のセキュリティ担当者は、システムの重要度に応じた適切な対応計画を立てる必要がある。

将来的には、プロトコル実装時のセキュリティテストの強化や、自動化されたコード検証ツールの導入が期待される。特に、メモリ安全性に関する問題は継続的な監視と改善が必要であり、開発プロセスの早い段階での脆弱性検出が重要になってくるだろう。

参考サイト

1. ^ CVE. 「CVE-2020-1821 | CVE」. https://www.cve.org/CVERecord?id=CVE-2020-1821, (参照 25-01-16).
2. Huawei. https://consumer.huawei.com/jp/

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧