OpenVPNに発見された複数の脆弱性の情報公開、Microsoft

画像提供：マイナビニュース

Microsoftはこのたび、公式ブログ「Chained for attack: OpenVPN vulnerabilities discovered leading to RCE and LPE」において、OpenVPNに発見された複数の脆弱性に関する詳細情報を公開した。脆弱性の深刻度は中程度と評価されており、組み合わせることでリモートコード実行およびローカル権限昇格で構成されるサイバー攻撃に悪用できる可能性があるという。2024年3月21日にリリースされたOpenVPN 2.6.10および2.5.10にアップデートすることで、これらの脆弱性の影響を回避できる。

○悪用につながる4つの脆弱性

OpenVPNはWindowsやmacOS、iOS、Androidなど、さまざまなプラットフォームにおいて広く利用されているオープンソースのVPNソリューション。Microsoftによれば、同社の研究チームは2024年3月に次の4つの脆弱性を発見し、OpenVPNプロジェクトに報告したという。

CVE-2024-27459: Windowsプラットフォームでサービス拒否(DoS)およびローカル権限昇格を引き起こす可能性がある脆弱性
CVE-2024-24974: Windowsプラットフォームで不正アクセスを許す可能性がある脆弱性
CVE-2024-27903: Windowsプラットフォームでリモートコード実行を、Android/iOS/macOS/BSDでローカル権限昇格やデータ操作を引き起こす可能性がある脆弱性
CVE-2024-1305: Windows TAPドライバーを通じてサービス拒否(DoS)を引き起こす可能性がある脆弱性

このうち、CVE-2024-1305はOpenVPNで使用されるターミナル アクセス ポイント (TAP) アダプタのドライバーに含まれる脆弱性で、攻撃者が設定するパラメータによってメモリオーバーフローが発生する危険性があるというもの。CVE-2024-27459はOpenVPNのクライアントプログラムであるopenvpn.exeプロセスとopenvpnserv.exeサービス間の通信メカニズムに存在する脆弱性で、openvpnserv.exeサービスがopenvpn.exeプロセスからメッセージを読み込む際にスタックオーバーフローが発生する可能性がある。