ラック、Juniper社ScreenOSの脆弱性に関する注意喚起を公開
～セキュリティ機器の管理機能における認証を回避する、危険な脆弱性の対策を呼びかけ～
2015年12月28日 | プレス
株式会社ラック（本社：東京都千代田区、代表取締役社長：髙梨 輝彦、以下ラック）が運営するセキュリティ監視センター『JSOC』は、ジュニパーネットワークス株式会社（以下Juniper社）のファイアウォール製品で動作する「ScreenOS」の管理機能への認証を無効化する脆弱性について検証し、当社の一部顧客において脆弱性の悪用が行われた可能性が確認されたことから、利用者保護を目的とした注意喚起情報を公開しました。
本注意喚起は、12月17日にJuniper社が公開した同社のファイアウォール製品で動作するScreenOSにおいて、管理アクセスにおける認証回避の脆弱性（CVE-2015-7755）の情報が公開された件に関して、その危険度を考慮して対策を呼びかけるために公開されました。
JSOCが本脆弱性に関する検証を行った結果、本脆弱性を悪用することにより一部のバージョンのScreenOSにおいて、実際に認証を回避した管理アクセスが可能なことを確認しました。また、当社の一部顧客からは、「本脆弱性を悪用して侵入を受けた可能性がある痕跡を発見した」等のフィードバックがあり、現在詳細を確認している状況です。
この脆弱性は、Juniper社製のファイアウォール製品で動作するScreenOSの特定バージョン（6.3.0r17～6.3.0r20）を使用し、TELNETやSSHによる遠隔管理を有効にしている環境に存在します。攻撃者は、通常は指定しなければならない管理者ユーザ名に依存せず、容易にリモートからログインすることができてしまう危険な脆弱性であることが確認されています。
この脆弱性を悪用することにより、認証を回避した攻撃者によってインターネット側から組織内部のネットワーク、または内部のネットワークからインターネットへのアクセス経路の制限を自由に変更することが可能となります。その結果、本来第三者がアクセスできないはずの機器や情報にアクセスされ、外部へ持ち出されるなど極めて大きな被害に繋がる可能性があるため、至急対策が必要です。
不正ログインが行われたかどうかを確認する方法や、推奨する対処方法に関しては、注意喚起情報もしくはラック公式ブログをご確認ください。
注意喚起情報：Juniper社ScreenOSの脆弱性に関する注意喚起
https://www.lac.co.jp/lacwatch/alert/20151228_000302.html
ラック公式ブログ：JSOCアナリストブログ
https://www.lac.co.jp/lacwatch/people/20151228_000301.html
株式会社ラックについて
ラックは、1986年にシステム開発事業で創業、多くの実績を誇る「金融系の基盤システム開発」「マーケティング・オートメーション支援」「ビッグデータ・アナリティクス」を始め、社会の基盤システムの開発を行っています。1995年にはいち早く情報セキュリティ事業を開始し、現在ではサイバーセキュリティ分野のリーディングカンパニーとして、官公庁・企業・団体等のお客様に業界屈指のセキュリティ技術を駆使した、先端のITトータルソリューションサービスを提供しています。2015年には、米フロスト＆サリバンより、「セキュリティ監視」「脆弱性診断」「セキュリティ事故対応」「セキュリティコンサルティング」などが高く評価され、「日本市場マネージドセキュリティーサービス プロバイダー最優秀賞」を受賞しています。
＊ LAC、ラックは、株式会社ラックの国内及びその他の国における登録商標または商標です。
＊ その他、記載されている会社名・団体名、製品名などは、各社の登録商標または商標です。