編集部からのお知らせ
(記事集)ニューノーマルで伸びる業界
「ニューノーマルとIT」新着記事一覧

ウインドリバーの「VxWorks」に複数の脆弱性--JVN

吉澤亨史

2010-08-04 12:03

 独立行政法人 情報処理推進機構セキュリティセンター(IPA/ISEC)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は8月3日、Wind River Systemsが開発する「VxWorks」に複数の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。

 ひとつは、認証API(loginLib)における問題で、使用されているハッシュ関数に衝突耐性の不備が存在するという脆弱性。正規のパスワードと同一のハッシュ値が算出される文字列を見つけることが比較的容易であるため、本認証APIを使用しているサービスにアクセスされる可能性がある。

 対策方法として、認証API(loginLib)で使用されているデフォルトのハッシュ関数(loginDefaultEncrypt())の使用を停止し、より安全なハッシュ関数を使用するよう呼びかけている。loginEncryptInstall()を使用することで、新たな暗号アルゴリズムを追加することが可能だ。

 もうひとつは、開発者向けのデバッグサービスである「VxWorks WDB target agent」が、VxWorksの設定においてデフォルトで有効になっていること。これにより、攻撃者はWDBサービスを使用することでデバイスを操作することが可能になる。

 対策方法としては、VxWorksイメージからINCLUDE_WDBおよびINCLUDE_DEBUG コンポーネントを削除することで、WDBサービスを無効にすることを推奨している。また、デバッグサービスを無効にするまでの回避策として、UDP 17185ポートへのアクセスを制限するよう呼びかけている。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. 運用管理

    ファイルサーバ管理のコツはここにあり!「無法状態」から脱出するプロセスを徹底解説

  2. クラウドコンピューティング

    社員の生産性を約2倍まで向上、注目の企業事例から学ぶDX成功のポイント

  3. コミュニケーション

    真の顧客理解でCX向上を実現、いまさら聞けない「データドリブンマーケティング」入門

  4. ビジネスアプリケーション

    デメリットも把握しなければテレワークは失敗に?─LIXIL等に学ぶ導入ステップや運用のコツ

  5. 運用管理

    ニューノーマルな働き方を支えるセキュリティ-曖昧になる境界に変わらなくてはならないデータセンター運用

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]