【CVE-2024-45157】ARM mbed TLSに不特定の脆弱性、情報取得のリスクに警戒が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

ARM mbed TLSに不特定の脆弱性が存在
影響を受けるバージョンは2.26.0-2.28.9未満と3.2.0-3.6.1未満
情報取得の可能性があり、ベンダーによる対策が必要

ARM mbed TLSの脆弱性発見とその影響

ARM Ltd.は同社が開発するARM mbed TLSに不特定の脆弱性が存在することを公表した。この脆弱性はCVSS v3による基本値が5.1（警告）と評価されており、攻撃元区分はローカル、攻撃条件の複雑さは高いとされている。影響を受けるバージョンは2.26.0以上2.28.9未満および3.2.0以上3.6.1未満であることが明らかになった。^[1]

この脆弱性の影響により、攻撃者が情報を取得する可能性があることが指摘されている。CVSSの評価によると、攻撃に必要な特権レベルは不要であり、利用者の関与も不要とされている。また、影響の想定範囲に変更はないものの、機密性への影響が高いとされており、完全性と可用性への影響はないと評価されている。

ARM Ltd.はこの脆弱性に対する対策として、ベンダアドバイザリまたはパッチ情報を公開している。ユーザーは参考情報を確認し、適切な対策を実施することが推奨されている。この脆弱性は共通脆弱性識別子CVE-2024-45157として登録されており、National Vulnerability Database (NVD)でも情報が公開されている。

ARM mbed TLS脆弱性の詳細

項目	詳細
影響を受けるバージョン	2.26.0以上2.28.9未満、3.2.0以上3.6.1未満
CVSS v3基本値	5.1（警告）
攻撃元区分	ローカル
攻撃条件の複雑さ	高
攻撃に必要な特権レベル	不要
利用者の関与	不要
影響の想定範囲	変更なし

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標である。主な特徴として、以下のような点が挙げられる。

0.0から10.0までの数値で脆弱性の深刻度を表現
攻撃の容易さや影響度など複数の要素を考慮して評価
ベースメトリクス、時間的メトリクス、環境的メトリクスの3つの指標で構成

ARM mbed TLSの脆弱性については、CVSS v3による基本値が5.1と評価されている。この評価は、攻撃元区分がローカルであり、攻撃条件の複雑さが高いことを反映している。また、機密性への影響が高いと評価されているが、完全性と可用性への影響はないとされており、これらの要素がCVSSスコアの算出に影響を与えている。

ARM mbed TLSの脆弱性に関する考察

ARM mbed TLSの脆弱性が発見されたことは、IoTデバイスやクラウドサービスにおけるセキュリティ対策の重要性を改めて浮き彫りにしている。この脆弱性は攻撃条件の複雑さが高いとされているものの、機密性への影響が高いと評価されており、適切な対策を講じなければ重大な情報漏洩につながる可能性がある。今後は、IoTデバイスメーカーやクラウドサービスプロバイダーが、使用しているライブラリのバージョン管理をより厳格に行う必要があるだろう。

一方で、この脆弱性の発見と公表は、オープンソースソフトウェアのセキュリティ管理における課題も浮き彫りにしている。ARM mbed TLSのような広く使用されているライブラリの脆弱性は、多くのシステムに影響を及ぼす可能性がある。そのため、脆弱性の早期発見と迅速な対応が可能な体制を整えることが、今後のセキュリティ対策において重要になってくるだろう。

今後、ARM Ltd.には脆弱性の詳細な分析結果の公開や、より強固なセキュリティ機能の実装が期待される。同時に、ユーザー側も定期的なセキュリティアップデートの確認や、適切なバージョン管理を行うことが重要になる。IoTデバイスの普及が進む中、こうしたセキュリティ対策の重要性はますます高まっていくだろう。