【CVE-2024-42001】vonets製品に深刻な脆弱性、CVSS基本値9.8で緊急対応が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

複数のvonets製品にリクエストの直接送信に関する脆弱性
CVSS v3による深刻度基本値は9.8（緊急）
情報取得、改ざん、サービス運用妨害の可能性あり

vonets製品の脆弱性がCVSS基本値9.8で緊急性高く

vonets社は、複数の製品においてリクエストの直接送信に関する脆弱性が存在することを2024年8月12日に公開した。この脆弱性はvar1200-h、var1200-l、var600-hなどのファームウェアに影響を与え、CVSS v3による深刻度基本値は9.8（緊急）と非常に高い危険性を示している。攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。^[1]

影響を受けるシステムは、vonets社のvap11ac、vap11g、vap11g-300、vap11g-500、vap11g-500s、vap11n-300、vap11s、vap11s-5g、var11n-300、var1200-h、var1200-l、var600-h、vbg1200、vga-1000の各ファームウェアバージョン3.3.23.6.9およびそれ以前のバージョンである。この脆弱性により、攻撃者は特権レベルや利用者の関与なしに、影響範囲を変更することなく攻撃を実行できる可能性がある。

この脆弱性によって想定される影響は、情報の取得、改ざん、およびサービス運用妨害（DoS）状態に陥る可能性である。vonets社は対策として、ベンダ情報および参考情報を確認し、適切な対策を実施するよう呼びかけている。脆弱性のタイプはCWEによるとリクエストの直接送信（CWE-425）に分類されており、共通脆弱性識別子（CVE）はCVE-2024-42001として登録されている。

vonets製品の脆弱性の影響範囲まとめ

製品名	影響を受けるファームウェアバージョン
vap11ac	3.3.23.6.9およびそれ以前
vap11g	3.3.23.6.9およびそれ以前
vap11g-300	3.3.23.6.9およびそれ以前
vap11g-500	3.3.23.6.9およびそれ以前
vap11g-500s	3.3.23.6.9およびそれ以前
var1200-h	3.3.23.6.9およびそれ以前
var1200-l	3.3.23.6.9およびそれ以前

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標である。主な特徴として以下のような点が挙げられる。

0.0から10.0までのスコアで脆弱性の深刻度を表現
攻撃の容易さや影響度などの要素を考慮して算出
ベースメトリクス、時間的メトリクス、環境的メトリクスの3種類で構成

本件のvonets製品の脆弱性では、CVSS v3による深刻度基本値が9.8（緊急）と評価されている。この高スコアは、攻撃元区分がネットワークであり、攻撃条件の複雑さが低く、特権レベルや利用者の関与が不要であることを示している。また、機密性、完全性、可用性のいずれへの影響も高いと評価されており、早急な対応が求められる深刻な脆弱性であることがわかる。

vonets製品の脆弱性に関する考察

vonets製品におけるこの脆弱性の発見は、IoT機器のセキュリティ強化の重要性を改めて浮き彫りにしている。特にCVSS基本値が9.8と極めて高いことから、攻撃者にとって非常に魅力的なターゲットとなる可能性が高く、早急なファームウェアの更新や代替策の実施が求められる。一方で、多くのIoT機器ではファームウェアの自動更新機能が不十分であることが多く、ユーザーの手動更新に依存せざるを得ない状況が問題を複雑化させている。

今後、このような脆弱性に対する効果的な対策として、メーカー側での開発段階からのセキュリティ強化やファームウェア自動更新メカニズムの改善が求められる。また、ユーザー側でもIoT機器のセキュリティリスクに対する認識を高め、定期的なファームウェア更新やネットワーク分離などの基本的なセキュリティ対策を徹底することが重要だ。さらに、脆弱性情報の迅速な公開と共有、そして対策の迅速な展開を可能にするエコシステムの構築も課題となるだろう。

長期的には、IoT機器のセキュリティ認証制度の強化や、製品のライフサイクル全体を通じたセキュリティサポートの義務化なども検討される必要がある。vonets社のような事例を教訓に、IoT機器のセキュリティ対策はより一層重要性を増すと考えられ、産業界全体での取り組みが求められる。製品の利便性向上と同時に、セキュリティ面での信頼性確保が、今後のIoT市場の健全な発展には不可欠となるだろう。