【CVE-2024-42058】ZyXELのZLDファームウェアにNULLポインタデリファレンスの脆弱性、DoS攻撃のリスクに

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
ZyXELのZLDファームウェアにNULLポインタデリファレンス脆弱性が発見
ZyXEL ZLDファームウェアの脆弱性詳細
NULLポインタデリファレンスについて
ZyXEL ZLDファームウェアの脆弱性対応に関する考察
参考サイト

記事の要約

ZyXELのZLDファームウェアにNULLポインタデリファレンスの脆弱性
CVE-2024-42058として識別された重要な脆弱性
ZLDファームウェア4.32以上5.39未満が影響を受ける

ZyXELのZLDファームウェアにNULLポインタデリファレンス脆弱性が発見

ZyXELは2024年9月3日、同社のZLDファームウェアにNULLポインタデリファレンスに関する重要な脆弱性が存在することを公表した。この脆弱性はCVE-2024-42058として識別され、CVSS v3による基本値は7.5（重要）と評価されている。影響を受けるバージョンは、ZLDファームウェア4.32以上5.39未満、4.50以上5.39未満、4.20以上5.39未満となっている。^[1]

この脆弱性の攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。攻撃に必要な特権レベルは不要で、利用者の関与も不要とされているが、影響の想定範囲に変更はない。機密性と完全性への影響はないものの、可用性への影響は高いと評価されており、サービス運用妨害（DoS）状態に陥る可能性がある。

ZyXELは、この脆弱性に対処するためのベンダアドバイザリやパッチ情報を公開している。ユーザーは参考情報を確認し、適切な対策を実施することが推奨される。CWEによる脆弱性タイプはNULLポインタデリファレンス（CWE-476）に分類されており、National Vulnerability Database（NVD）にも情報が登録されている。

ZyXEL ZLDファームウェアの脆弱性詳細

項目	詳細
脆弱性識別子	CVE-2024-42058
影響を受けるバージョン	ZLDファームウェア4.32以上5.39未満
CVSS v3基本値	7.5（重要）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
想定される影響	サービス運用妨害（DoS）状態

NULLポインタデリファレンスについて

NULLポインタデリファレンスとは、プログラムがNULLポインタを参照または逆参照しようとする際に発生するプログラミングエラーのことを指しており、主な特徴として以下のような点が挙げられる。

プログラムの異常終了やクラッシュを引き起こす可能性がある
メモリ破壊やセキュリティ脆弱性につながる可能性がある
デバッグが困難で、予期せぬ動作の原因となることがある

ZyXELのZLDファームウェアにおけるNULLポインタデリファレンスの脆弱性は、攻撃者によって悪用されるとサービス運用妨害（DoS）状態を引き起こす可能性がある。この種の脆弱性は、適切なポインタ処理やエラーハンドリングを実装することで回避できることが多い。ユーザーは、ZyXELが提供するセキュリティアップデートを適用し、システムを最新の状態に保つことが重要だ。

ZyXEL ZLDファームウェアの脆弱性対応に関する考察

ZyXELがZLDファームウェアの脆弱性を迅速に公表し、対策情報を提供したことは評価に値する。特に、CVSSスコアが7.5と高く評価されているにもかかわらず、機密性や完全性への影響がないとされている点は、被害の拡大を抑制する上で重要だ。一方で、この脆弱性が長期間にわたって複数のバージョンに存在していた点は、ファームウェア開発プロセスにおけるセキュリティレビューの強化が必要であることを示唆している。

今後、この脆弱性を悪用した攻撃が増加する可能性があり、特にセキュリティアップデートが適用されていない環境が標的となる恐れがある。ZyXELユーザーは、できるだけ早急にファームウェアのアップデートを行うべきだが、一部の組織ではアップデートに時間がかかる可能性もある。そのため、一時的な対策として、影響を受けるデバイスへのネットワークアクセスを制限するなどの措置を検討する必要があるだろう。

ZyXELには、今回の脆弱性の根本原因を詳細に分析し、同様の問題が将来的に発生しないよう開発プロセスを改善することが求められる。また、ユーザーに対しても、定期的なセキュリティアップデートの重要性を啓発し、自動アップデート機能の実装や、より使いやすいアップデート方法の提供など、セキュリティ対策の容易化を進めることが期待される。