お知らせ: 特定のバージョンのSonicOSで稼働するSonicWallのフィジカルファイアウォール機器では、リモート管理のためにサードパーティのTCP/IPコードが使用されており、そのコードにURGENT/11と呼ばれる脆弱性が見つかりました。現時点では、発見された脆弱性のインターネットを介した悪用は確認されていませんが、

SonicWallでは、ただちにSonicOSのパッチを適用されることを強く推奨します。SonicOSの最近のバージョンそれぞれにパッチが用意されています。詳しい説明はセキュリティ アドバイザリーで提供されています。

SonicWallでは、パッチが適用されたSonicOSのバージョンを、現在有効なサポート契約を結ばれていないお客様も含め、皆様に無料で提供しています。また、URGENT/11に対して脆弱な他の機器の保護に役立つファイアウォール機能を提供する、最新のSonicOSリリース（6.5.4.4）へのアップデートも推奨しています。

Wind RiverのVxWorksおよびURGENT/11の脆弱性について

Armis社（米国IoTセキュリティベンダー）のセキュリティー研究者は、Wind RiverのVxWorksリアルタイムオペレーティングシステムのTCP/IPスタックに11の脆弱性を発見し、それについて責任ある開示を行いました。VxWorksリアルタイムオペレーティングシステムは世界中の何百万もの機器で使用されているほか、宇宙においても火星に着陸したスペースクラフトでも使用されており、SonicWall製品では特定のバージョンのSonicOSで使用されています。Wind RiverのVxWorksのTCP/IPスタック（名称「IPNET」）には「URGENT/11」と名付けられた脆弱性が含まれており、  そのうちSonicOSに影響する1つの重要な脆弱性タイプがパッチリリースによって対処されます。

野放し、パッチ不適用：危険が広がるIoT

Wind RiverのVxWorksは、ネットワーキング、電気通信、自動車、医療、産業用、家電、航空宇宙、その他多くの分野において、IoTや組み込みアプリケーションで広く使用されているリアルタイムオペレーティングシステムです。

組織の周囲の保護を担うのはファイアウォールですが、ファイアウォールは往々にして集中管理ロケーションから能動的に管理され、監視されるデバイスです。  それぞれのファイアウォールの背後には、「使用するファイアウォールは上手く動作しているか？最新の状態に保たれているか？」と毎日真っ先に確認する人がいます。アップデートのリリースから数日以内にこのような人たちが保守のための時間帯をスケジュールし、セキュリティのギャップを埋めます。

しかしながら、インターネットに直接接続している、あるいはさらされている他のデバイスではほとんどの場合そのような人は存在せず、これらの「IoT」デバイスの数自体もファイアウォールよりも桁違いに多くなっています。目に見えない氷山の一角ようなリスクをインターネットにもたらすのは、能動的な管理またはパッチの適用がなされていない、莫大な数の接続デバイスです。非常に優れたソフトウェアであってもいずれ脆弱性が見つかるものです。インターネットやオンラインエコシステムのセキュリティは、修正プログラムをロールアウトして展開する能力にかかっています。

2019年SonicWallサイバー脅威レポートの中間アップデートでは、SonicWallのCapture Labsがすでに、昨年の最初の2四半期の数字を上回る、1350万件ものIoT攻撃を記録していると報告しています。

何億ものIoTデバイスが脆弱でありながらパッチが適用されていないままであることが判明していることから、この現状についてセキュリティの専門家だけでなく政府の規制当局も懸念しています。

これはインターネットの危険な弱点の一つであり、往々にして端末機器としてインターネットに接続されて長期間にわたりそのまま放置された状態になっている消費者向けデバイスを含め、IoTデバイスの爆発的な増加によってさらに危険が高まっています。IoTの広範なリーチは、いくつもの業界に対して警鐘を鳴らすものと言えるでしょう。

「絶えずパッチの適用を怠らないこと」

古いソフトウェアに対して公開された脆弱性の武器化は、ユーザーがソフトウェアのアップデートを決して先延ばしにしてはならないという重要な事柄を再確認させるものとなっています。アップデートは、今日急速に進化する脅威的状況からインフラストラクチャを保護するために実行できる最も重要な手段の1つです。

そのままにしたり後回しにしたりせず、今すぐパッチを適用してください。また、今後も常にパッチの適用を怠らないようお願いいたします。