セキュリティ・プロトコルの実装に脆弱性，複数ベンダーのVPN製品が影響を受ける

セキュリティ組織の英NISCCなどは現地時間11月14日，IPsec通信などで使われるプロトコル「ISAKMP」の実装に複数の脆弱性（セキュリティ・ホール）が見つかったことを明らかにした。IPsecをサポートするソフトウエア／ハードウエア製品が影響を受ける可能性がある。細工が施されたデータを送信されると，製品を再起動されたり，任意のプログラムを実行されたりする可能性がある。対策はパッチの適用など。影響度や対策方法は製品によって異なるので，各ベンダーが公開する情報を参照してほしい。

今回の脆弱性は，ISAKMP（Internet Security Association and Key Management Protocol）の実装に関するもの。ISAKMPは，IPsec（IP Security Protocol）などの他のセキュリティ・プロトコルにおいてSA（Security Association）を生成したりネゴシエーションしたりするために用いられるプロトコル。SAとは，暗号通信の際に利用する暗号／認証アルゴリズムや鍵情報のこと。

ISAKMPは2つのフェーズで2つのSAを生成する。フェーズ1では，鍵交換方式および鍵交換に用いる暗号／認証方式をネゴシエーションし，フェーズ2で送信データに関する暗号／認証方式をネゴシエーションする。ISAKMPではフェーズ1における鍵交換方式を具体的には規定しておらず，さまざまな方式を使えるようにしている。一般的には，IKEv1（Internet Key Exchange version 1）が使われる。

今回の脆弱性は，ISAKMPのフェーズ1においてIKEv1を用いる場合に発現する。IKEv1を用いる設定にしているシステムに対して，フェーズ1のネゴシエーションの際に細工が施されたパケットを送信されると，適切に処理できずにDoS（サービス妨害）攻撃を許したり，任意のプログラムを実行されたりする可能性がある。 [全文]