【CVE-2024-0171】デルのPowerEdge製品にTOCTOU脆弱性、ファームウェアアップデートで対策を

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
デル製品のTime-of-check Time-of-use脆弱性
Time-of-check Time-of-use脆弱性の影響まとめ
Time-of-check Time-of-use (TOCTOU) 競合状態について
デル製品のTOCTOU脆弱性に関する考察
参考サイト

記事の要約

デル製品に競合状態の脆弱性が発見
PowerEdgeシリーズ等複数製品が影響
ファームウェアアップデートによる対策が必要

デル製品のTime-of-check Time-of-use脆弱性

デルは複数の製品において、Time-of-check Time-of-use (TOCTOU) 競合状態の脆弱性が発見されたことを公表した。この脆弱性はPowerEdge R6615、R7615、R6625などのファームウェアに影響を及ぼしており、攻撃者によって情報の取得や改ざん、サービス運用妨害（DoS）状態を引き起こされる可能性がある。CVSSv3による深刻度の基本値は5.3（警告）と評価されている。^[1]

影響を受ける製品の具体的なバージョンは、PowerEdge C6615ファームウェア1.3.3未満、PowerEdge R6615/R6625/R7615/R7625ファームウェア1.8.3未満、XC Core XC7625ファームウェア1.8.3未満となっている。この脆弱性はCVE-2024-0171として識別されており、CWEによる脆弱性タイプはTime-of-check Time-of-use (TOCTOU) 競合状態（CWE-367）に分類されている。

デルは影響を受ける製品のユーザーに対して、ベンダアドバイザリまたはパッチ情報を参照し、適切な対策を実施するよう呼びかけている。NVDの評価によると、この脆弱性の攻撃元区分はローカルであり、攻撃条件の複雑さは高いとされているが、攻撃に必要な特権レベルは低く設定されている点に注意が必要だ。

Time-of-check Time-of-use脆弱性の影響まとめ

項目	詳細
影響を受ける製品	PowerEdge C6615、R6615、R6625、R7615、R7625、XC Core XC7625
脆弱性の種類	Time-of-check Time-of-use (TOCTOU) 競合状態
CVE識別子	CVE-2024-0171
CVSS v3基本値	5.3（警告）
想定される影響	情報の取得・改ざん、サービス運用妨害（DoS）
対策	ベンダアドバイザリ参照、ファームウェアアップデート

Time-of-check Time-of-use (TOCTOU) 競合状態について

Time-of-check Time-of-use (TOCTOU) 競合状態とは、プログラムが特定のリソースやデータをチェックしてから使用するまでの間に、そのリソースやデータが変更される可能性がある脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

リソースの状態確認と使用の間にタイムラグが存在
マルチスレッド環境や非同期処理で発生しやすい
権限昇格やデータ改ざんなどのセキュリティリスクを引き起起こす可能性がある

この脆弱性は、デルの複数のPowerEdge製品ファームウェアで確認されており、攻撃者によって悪用された場合、情報の不正取得や改ざん、さらにはサービス運用妨害（DoS）状態を引き起こす可能性がある。デルは影響を受ける製品のユーザーに対して、公開されたセキュリティアップデートを適用し、ファームウェアを最新バージョンに更新することを強く推奨している。

デル製品のTOCTOU脆弱性に関する考察

デル製品におけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性の発見は、エンタープライズ向けハードウェアのセキュリティ管理の重要性を再認識させる契機となった。この脆弱性は複数のPowerEdgeシリーズに影響を与えており、多くの企業や組織のITインフラストラクチャに潜在的なリスクをもたらす可能性がある。特に、攻撃に必要な特権レベルが低く設定されている点は、攻撃者にとって比較的容易に悪用できる条件となっている。

今後、同様の脆弱性が他のハードウェアベンダーの製品でも発見される可能性は否定できない。ファームウェアレベルでのセキュリティ対策の重要性が増す中、ベンダーは製品開発段階からのセキュリティバイデザインの導入や、定期的なセキュリティ監査の実施を強化する必要があるだろう。一方、ユーザー側も定期的なファームウェアアップデートの重要性を再認識し、セキュリティパッチの適用を迅速に行う体制を整えることが求められる。

将来的には、AIを活用した自動脆弱性検出システムやリアルタイムモニタリングツールの開発が進むことで、このような脆弱性をより早期に発見し、対処することが可能になると期待される。また、ハードウェアメーカーとセキュリティ研究者のコラボレーションを促進し、脆弱性情報の共有や対策立案を迅速化する仕組みづくりも重要だろう。業界全体でセキュリティ意識を高め、継続的な改善を行うことが、より安全なITインフラの実現につながるはずだ。