事故から学ぶ

脆弱性「FragAttacks」が判明 – ほぼすべてのWi-Fi機器に影響

事故概要

業種 情報
発生時期 情報
漏えい人数 情報
事故概要

ほぼすべての「Wi-Fi」対応機器に影響を及ぼすとされる脆弱性「FragAttacks」が明らかとなった。脆弱性を悪用されると、情報を窃取されたり、対応機器が攻撃を受けるおそれがあるという。
ニューヨーク大学アブダビ校の研究者であるMathy Vanhoef氏がUSENIXのセキュリティカンファレンスで発表したもの。脆弱性はCVEベースであわせて12件にのぼり、同氏は一連の脆弱性を「FragAttacks(Fagmentation and Aggregation Attacks)」と名付けている。
同氏は今回明らかとなった脆弱性について75種類のデバイスを調査したが、すべての機器で少なくとも1件の脆弱性が存在しており、ほぼすべてのWi-Fi対応機器に脆弱性が存在すると結論付けている。最新の「WPA3」についても影響を受ける。
今回明らかとなった脆弱性のうち、3件についてはWi-Fi規格に起因し、1997年以降存在しており、幅広い製品が影響を受ける。ただし、悪用にあたってユーザー側の操作が必要であったり、一般的ではないネットワーク設定が必要となるなど、悪用するのは難しいという。
一方、実装に起因する脆弱性については影響が大きいと指摘。暗号化された通信へ平文を挿入することが可能となる脆弱性が複数存在するほか、ヘッダの一部を不正に操作することで通信の改ざんなども可能となる。脆弱性が悪用されると、悪意あるDNSサーバに誘導することが可能となるほか、またルータにおいては「NAT」で接続されているローカルのデバイスへの攻撃が可能となる。
同氏はデモにおいて、ユーザ名とパスワードを脆弱性を用いて傍受し、スマートコンセントを遠隔操作したり、サポートが終了している「Windows 7」を搭載したパソコンに対し、脆弱性を利用して「BlueKeep攻撃」が可能であることを実際に示した。
脆弱性を公表にあたっては、「Wi-Fi Alliance」と「ICASI(Industry Consortium for Advancement of Security on the Internet)」における監修のもと協調的に情報共有を進め、9カ月をかけてアップデートなどの準備が進められてきたという。今回の発表を受け、各社よりアップデートの提供が順次開始されている。
脆弱性は当初、2021年3月9日に開示が予定されていたものの、約1週間前に延期となったが、準備が進められていたマイクロソフトのセキュリティ更新プログラムについては、予定通り3月9日に先立ってリリースされ、特定の脆弱性に対処した。
また同氏は、ネットワークにおいて脆弱性の影響を調査するツールを公開しており、ライブUSBのイメージも用意している。エクスプロイトを含む実証コード(PoC)については、十分にパッチの適用が進んだ今後リリースする計画だという。

引用元 Security NEXT

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

情報

チェックリストにある要求ルール:

情報

■ 推奨対策

対策:

情報

具体例:

情報

タグ

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。