SSL/VPN脆弱性ふたたび・・
狙われるSSL/VPNの脆弱性
SSL/VPNは、企業等の組織が、その内部にあるサービスやデータにWeb(SSL/TLS）を経由して、安全にアクセスするためのシステムです。VPNには、初期の頃から利用されてきた、IPSec/VPNもありますが、Web系のサービスへのリモートアクセスに特化したアプリケーションレイヤでの仕組みであるSSL/VPNは、導入が手軽で、一般にWebブラウザからアクセスができるため、後に広く普及しました。最近のシステムでは、Webブラウザによる認証を経て、IPSecによるネットワークレイヤの接続や、SSL(TLS)トンネルを介して、ネットワークレベルでの接続等もサポートされるようになっています。
しかし、こうしたシステムも、「脆弱性」と無縁ではありません。2019年には、複数の製品で、認証に使われるアカウント情報などが漏洩する脆弱性が発覚し、それが悪用された結果、多くの企業・組織が被害を受けています。コロナ下でのテレワークが広がっている現在、会社のサーバへのアクセスに、こうした仕組みを利用しているケースは非常に多く、攻撃者も、こうした仕組みにフォーカスした攻撃を行う傾向が強くなっています。一旦、脆弱性が発見されれば、それらを狙った攻撃発生までの猶予は、これまで以上に短くなっており、ただちに脆弱性を修正しないと、重大な侵害につながる危険が極めて大きくなります。
被害は情報漏洩だけにとどまりません。攻撃によって、リモートアクセスに障害が発生すれば、業務の停止等様々な影響が出てしまいます。今回発表されたPulse Connect Secure （Pulse Secure社のSSL/VPNシステム）の脆弱性も、様々なリスクをもたらします。
2019年の脆弱性の場合、公表が4月であったにもかかわらず、秋以降、年末、年明けに至っても、被害が発生し続けました。被害に遭った多くの組織が、脆弱性対策がとられたバージョンのソフトウエア（ファームウエア）をインストールしていなかった実態が明らかになっています。また、更新前に攻撃を受け、認証関連情報が漏洩していたため、更新後に不正アクセスを受けたケースもありました。PCやサーバなどとは異なり、どちらかと言えば「ネットワーク機器」に分類されがちな、こうしたリモートアクセス用機器は、これまでファームウエア更新をあまり考慮しない運用が行われてきました。どちらかと言えば、「必要ない限り出来るだけ更新しない」考え方の運用が多かったと言えます。しかし、ネットワーク機器といえども、中身はコンピュータであり、ソフトウエア（ファームウエア）で動作している以上、脆弱性は少なからず発覚します。攻撃者も、こうした機器の脆弱性対応が手薄なことを知っており、そこに狙いを定めているわけです。今回、4月20日に公表された脆弱性についても、様々な悪用が懸念されます。5月3日には修正版のファームウエアが公開されており、Pulse Connect Secureを利用している組織は、ただちに更新を行う必要があります。
しかし、こうしたシステムも、「脆弱性」と無縁ではありません。2019年には、複数の製品で、認証に使われるアカウント情報などが漏洩する脆弱性が発覚し、それが悪用された結果、多くの企業・組織が被害を受けています。コロナ下でのテレワークが広がっている現在、会社のサーバへのアクセスに、こうした仕組みを利用しているケースは非常に多く、攻撃者も、こうした仕組みにフォーカスした攻撃を行う傾向が強くなっています。一旦、脆弱性が発見されれば、それらを狙った攻撃発生までの猶予は、これまで以上に短くなっており、ただちに脆弱性を修正しないと、重大な侵害につながる危険が極めて大きくなります。
被害は情報漏洩だけにとどまりません。攻撃によって、リモートアクセスに障害が発生すれば、業務の停止等様々な影響が出てしまいます。今回発表されたPulse Connect Secure （Pulse Secure社のSSL/VPNシステム）の脆弱性も、様々なリスクをもたらします。
2019年の脆弱性の場合、公表が4月であったにもかかわらず、秋以降、年末、年明けに至っても、被害が発生し続けました。被害に遭った多くの組織が、脆弱性対策がとられたバージョンのソフトウエア（ファームウエア）をインストールしていなかった実態が明らかになっています。また、更新前に攻撃を受け、認証関連情報が漏洩していたため、更新後に不正アクセスを受けたケースもありました。PCやサーバなどとは異なり、どちらかと言えば「ネットワーク機器」に分類されがちな、こうしたリモートアクセス用機器は、これまでファームウエア更新をあまり考慮しない運用が行われてきました。どちらかと言えば、「必要ない限り出来るだけ更新しない」考え方の運用が多かったと言えます。しかし、ネットワーク機器といえども、中身はコンピュータであり、ソフトウエア（ファームウエア）で動作している以上、脆弱性は少なからず発覚します。攻撃者も、こうした機器の脆弱性対応が手薄なことを知っており、そこに狙いを定めているわけです。今回、4月20日に公表された脆弱性についても、様々な悪用が懸念されます。5月3日には修正版のファームウエアが公開されており、Pulse Connect Secureを利用している組織は、ただちに更新を行う必要があります。
Pulse Connect Secureの脆弱性（4月20日発表）
この脆弱性についてはJPCERT/CCから、以下のアドバイザリが公開されています。
https://www.jpcert.or.jp/at/2021/at210019.html
メーカーであるPulse Secure社からは、以下のアドバイザリ（英文）が公開されています。
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784/
これらのアドバイザリによれば、今回の更新には4種類の脆弱性への対応が含まれます。
https://www.jpcert.or.jp/at/2021/at210019.html
メーカーであるPulse Secure社からは、以下のアドバイザリ（英文）が公開されています。
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784/
これらのアドバイザリによれば、今回の更新には4種類の脆弱性への対応が含まれます。
これらのうち３種類は、CVSSスコアが9以上の「緊急」扱いとなっており、既に攻撃も確認されていることから、放置すれば被害を受ける可能性が極めて高いと言えます。最悪の場合、機器を乗っ取られ、様々なセキュリティ機能を無効化されたり、社内システムに対して不正にアクセスされる可能性もあり、また、ログインページを改ざんされるなどした場合、ユーザにマルウエア感染を発生させる可能性など様々な被害が想定されます。従って、この修正プログラムの適用は、できる限り早急に実施しなければいけません。
また、既に攻撃が確認されていることから、JPCERT/CCでは、もし、攻撃を受けた可能性があれば、システムが改ざんされていないかどうかを確認するよう推奨しています。改ざんを確認するためのツールは、メーカーから提供されているので、上の、JPCERT/CCアドバイザリーに記載されたリンクから、入手し、実行することを推奨します。
また、既に攻撃が確認されていることから、JPCERT/CCでは、もし、攻撃を受けた可能性があれば、システムが改ざんされていないかどうかを確認するよう推奨しています。改ざんを確認するためのツールは、メーカーから提供されているので、上の、JPCERT/CCアドバイザリーに記載されたリンクから、入手し、実行することを推奨します。
テレワーク時代を見据えて
コロナ下ではもちろんのこと、これが終息した後も、整備されたリモートアクセス環境を利用して、テレワーク推進の流れは止まらないでしょう。そのような中で、生命線とも言える、こうしたアクセス機器の運用、保守は、一層重要度が高まります。止めないことはもちろん、こうした脆弱性が発覚した場合に、どのようにしてタイムリーなメンテナンス作業を行うかといった点も、きちんと考慮し、運用手順に組み込んでおく必要があるのです。もちろん、脆弱性に関する情報をいち早く入手する手段も確保しておく必要があります。IT部門は、JPCERT/CCからのアドバイザリやJVNサイトといった仕組みを活用して、常に情報を収集しておく必要があります。デジタルトランスフォーメーション（DX）の時代、それに合わせて、セキュリティも考慮した運用のトランスフォーメーションも必要になる点を忘れないでください。
