Published: 2025-05-14 08:00
SonicWall 製 SMA100 シリーズに複数の脆弱性を組み合わせた攻撃
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月12日、SonicWall製SMA100シリーズにおける複数の脆弱性（CVE-2023-44221、CVE-2024-38475）を組み合わせた攻撃について発表した。影響を受けるシステムは以下の通り。
・CVE-2023-44221の影響を受けるバージョン
SMA 100 Series 10.2.1.9-57svおよびそれ以前のバージョン
（SMA 200、210、400、410、500vが影響を受ける）
・CVE-2024-38475の影響を受けるバージョン
SMA 100 Series 10.2.1.13-72svおよびそれ以前のバージョン
（SMA 200、210、400、410、500vが影響を受ける）
SonicWallは現地時間4月29日に、SMA100シリーズにおける複数の脆弱性に関するアドバイザリ（SNWLID-2023-0018、SNWLID-2024-0018）を更新し、OSコマンドインジェクションの脆弱性（CVE-2023-44221）と、Apache HTTP Serverのパストラバーサルの脆弱性（CVE-2024-38475）が悪用された可能性があるという情報を追記している。
watchTowr Labsは現地時間5月2日に、上記2つの脆弱性を組み合わせることで、遠隔の第三者が任意のコマンドを実行できることを解説したブログ記事を公表している。同記事には、脆弱性悪用に関する詳細な解説に加え、脆弱性の実証コード（Proof-of-Concept）も記載されており、今後同脆弱性を悪用する攻撃の増加が懸念されるという。
JPCERT/CCでは、本脆弱性の影響を受ける可能性がある製品の国内での稼働を確認しており、当該製品を使用している場合は、対策の実施と機器が侵害されていないかどうかの調査の実施を検討するよう呼びかけている。
| # | 言葉 | 意味 |
|---|---|---|
| 8 | 脆弱性 | ぜいじゃくせい (脆弱性) : vulnerability; weakness; fragility |
| 6 | 影響 | えいきょう (影響) : 1. influence; effect 2. to influence; to affect; to have an influence on; to impact; to have an effect on |
| 2 | おく | おく (奥) : inner part; inside; interior; depths (e.g. of a forest); back (of a house, drawer, etc.); bottom (e.g. of one's heart); recesses; heart |
| 2 | 複数 | ふくすう (複数) : plural; multiple; several |
| 2 | 組み合わせる | くみあわせる (組み合わせる) : to join together; to combine; to join up |
| 2 | 攻撃 | こうげき (攻撃) : 1. attack; assault; raid; onslaught; offensive 2. criticism; censure; denunciation; condemnation |
| 2 | および | および (及び) : and; as well as |
| 2 | 以前 | いぜん (以前) : ago; since; before; previous |
| 2 | 現地時間 | げんちじかん (現地時間) : local time |
| 2 | 関する | かんする (関する) : to concern; to be related |
| 2 | 悪用 | あくよう (悪用) : abuse; misuse; perversion |
| 2 | 可能性 | かのうせい (可能性) : potentiality; likelihood; possibility; availability |
| 2 | 解説 | かいせつ (解説) : explanation; commentary; exposition; elucidation |
| 2 | 製品 | せいひん (製品) : manufactured goods; finished goods; product |
| 2 | 実施 | じっし (実施) : enforcement; implementation; putting into practice; carrying out; operation; working (e.g. working parameters); enactment |
| 1 | 一般社団法人 | いっぱんしゃだんほうじん (一般社団法人) : general incorporated association |
| 1 | 製 | せい (製) : -made; make |
| 1 | 発表 | はっぴょう (発表) : announcement; publication; presenting; statement; communique; making known; breaking (news story); expressing (one's opinion); releasing; unveiling |
| 1 | 通り | とおり (通り) : 1. avenue; street; way; road 2. coming and going; street traffic |
| 1 | 更新 | こうしん (更新) : renewal; update; innovation; improvement |
| 1 | 情報 | じょうほう (情報) : 1. information; news; intelligence; advices 2. information; data contained in characters, signals, code, etc. |
| 1 | 追記 | ついき (追記) : 1. PS; postscript 2. appending; addition (esp. of data, information) |
| 1 | 上記 | じょうき (上記) : above-mentioned; above-named; above |
| 1 | 遠隔 | えんかく (遠隔) : distant; remote; isolated |
| 1 | 第 | だい (第) : prefix for forming ordinal numbers |
| 1 | 任意 | にんい (任意) : 1. optional; voluntary; arbitrary; random; discretionary; facultative; spontaneous; any 2. arbitrary |
| 1 | 実行 | じっこう (実行) : execution (e.g. of a plan); carrying out; practice; action; implementation; fulfillment; realization |
| 1 | 公表 | こうひょう (公表) : official announcement; proclamation |
| 1 | 記事 | きじ (記事) : article; news story; report; account |
| 1 | 脆弱 | ぜいじゃく (脆弱) : weak; frail; fragile |
| 1 | 性悪 | しょうわる (性悪) : ill-natured; inconstancy |
| 1 | 詳細 | しょうさい (詳細) : 1. details; particulars; specifics 2. detailed; specific; minute |
| 1 | 加える | くわえる (加える) : 1. to add; to add up; to sum up; to append; to annex 2. to increase; to gather (e.g. speed); to pick up |
| 1 | 実証 | じっしょう (実証) : demonstration; verification; substantiation; actual proof |
| 1 | 記載 | きさい (記載) : mention (in a document); record; entry; statement; listing |
| 1 | 今後 | こんご (今後) : from now on; hereafter |
| 1 | 増加 | ぞうか (増加) : increase; rise; growth; addition; increment |
| 1 | 懸念 | けねん (懸念) : worry; fear; anxiety; concern |
| 1 | 国内 | こくない (国内) : internal; domestic |
| 1 | 稼働 | かどう (稼働) : operation (of machine); operating; running; working |
| 1 | 確認 | かくにん (確認) : confirmation; verification; validation; review; check; affirmation; identification |
| 1 | 当該 | とうがい (当該) : appropriate (e.g. authorities); concerned; relevant; said; aforementioned; competent; applicable; respective |
| 1 | 使用 | しよう (使用) : use; application; employment; utilization; utilisation |
| 1 | 対策 | たいさく (対策) : measure; step; countermeasure; counterplan; countermove; strategy; preparation (e.g. for a test) |
| 1 | 機器 | きき (機器) : device; equipment; machinery; apparatus |
| 1 | 侵害 | しんがい (侵害) : infringement; violation; invasion; encroachment; trespass |
| 1 | 調査 | ちょうさ (調査) : investigation; examination; inquiry; enquiry; survey |
| 1 | 検討 | けんとう (検討) : consideration; examination; investigation; study; scrutiny; discussion; analysis; review |
| 1 | 呼びかける | よびかける (呼びかける) : 1. to call out to; to hail; to address 2. to appeal |