【CVE-2024-7347】F5 Networksのnginx open sourceとNGINX plusに境界外読み取りの脆弱性、DoS攻撃のリスクあり

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
F5 Networksのnginx open sourceとNGINX plusの脆弱性発見
F5 Networksの脆弱性対策まとめ
境界外読み取りについて
F5 Networksの脆弱性対応に関する考察
参考サイト

記事の要約

F5 NetworksのnginxとNGINX plusに脆弱性
境界外読み取りによるDoS攻撃のリスク
ベンダーから正式な対策が公開済み

F5 Networksのnginx open sourceとNGINX plusの脆弱性発見

F5 Networksは、nginx open sourceおよびNGINX plusに境界外読み取りに関する脆弱性が存在することを公表した。この脆弱性は、CVE-2024-7347として識別されており、CVSS v3による深刻度基本値は4.7（警告）とされている。影響を受けるバージョンは、nginx open source 1.5.13以上1.26.2未満、NGINX plus r27以上r31未満、NGINX plus r31、NGINX plus r32である。^[1]

この脆弱性の主な影響として、サービス運用妨害（DoS）状態に陥る可能性が指摘されている。攻撃元区分はローカルであり、攻撃条件の複雑さは高いとされているが、攻撃に必要な特権レベルは不要で利用者の関与が必要とされている。機密性や完全性への影響はないものの、可用性への影響は高いと評価されている。

F5 Networksは、この脆弱性に対する正式な対策を公開しており、ユーザーに対してベンダー情報を参照し適切な対策を実施するよう呼びかけている。具体的な対策については、F5 NetworksのSecurity Advisory（K000140529）を確認することが推奨されている。この脆弱性は、CWEによる脆弱性タイプ分類では境界外読み取り（CWE-125）に分類されている。

F5 Networksの脆弱性対策まとめ

項目	詳細
影響を受けるソフトウェア	nginx open source 1.5.13以上1.26.2未満、NGINX plus r27以上r31未満、r31、r32
脆弱性の種類	境界外読み取り（CWE-125）
CVSS v3深刻度基本値	4.7（警告）
想定される影響	サービス運用妨害（DoS）状態
対策	ベンダー公開の正式対策を実施
参照先	F5 Networks Security Advisory（K000140529）

境界外読み取りについて

境界外読み取り（CWE-125）とは、プログラムが意図した範囲外のメモリを読み取ってしまう脆弱性のことを指しており、主な特徴として以下のような点が挙げられる。

バッファオーバーリードの一種
メモリ破壊や情報漏洩のリスク
DoS攻撃やコード実行の可能性

nginx open sourceやNGINX plusにおける境界外読み取りの脆弱性は、攻撃者がローカルから特定の条件下で攻撃を実行することで、サービスの可用性に重大な影響を与える可能性がある。この種の脆弱性は、適切なバウンダリーチェックやメモリ管理の不備によって発生することが多く、ソフトウェアの品質と安全性に直結する重要な問題となっている。

F5 Networksの脆弱性対応に関する考察

F5 Networksが迅速に脆弱性情報を公開し、対策を提供したことは評価に値する。特に、CVSSスコアが比較的低いにもかかわらず、詳細な情報と対策を提供している点は、ユーザーの安全を重視する姿勢の表れだろう。ただし、広範囲のバージョンに影響があることから、多くのユーザーが影響を受ける可能性があり、パッチ適用の徹底が課題となるかもしれない。

今後、このような脆弱性を未然に防ぐためには、開発プロセスでのセキュリティテストの強化が必要だと考えられる。特に、境界値チェックやメモリ管理に関するコードレビューの徹底、静的解析ツールの活用などが有効だろう。また、ユーザー側でも、定期的なセキュリティアップデートの確認と適用を習慣化することが重要になる。

F5 Networksには、今回の経験を活かし、より堅牢なソフトウェア開発プロセスの確立を期待したい。同時に、業界全体としても、オープンソースソフトウェアのセキュリティ強化に向けた取り組みを加速させる必要がある。セキュリティ研究者とベンダーの協力体制を強化し、脆弱性の早期発見と迅速な対応を実現することで、インターネットインフラの安全性向上につながるだろう。