2005年10月3日 更新
IPCOMシリーズのOpenSSL脆弱性への対応について
NISCC （National Infrastructure Security Co-Ordination Centre）（注1）より、「OpenSSL（注2）の実装に関する脆弱性」の存在が報告され、IPCOMシリーズにおいても脆弱性の存在が確認されました。
脆弱性の内容および対応方法についてご連絡いたします。
（注1） NISCC: National Infrastructure Security Co-Ordination Centreの略称
英国における重要インフラ保護のための機関。
（注2） SSL: Secure Sockets layer
トランスポート層でTCP/IP通信のセキュリティを確保するためのプロトコル
1. 脆弱性内容
1-1. 概要
IPCOMシリーズにおいて、下記1-2項に該当する製品全ての設定・管理時のhttps通信（WUI: Web User Interface）時及び、IPCOM300のSSLアクセラレーター機能使用時にOpenSSLを利用しており、脆弱性の存在が確認されております。
1-2. 対象製品
| 機種名 | 該当ファームウェア版数 |
|---|---|
| IPCOM 50 | E10L10～E10L10 NF0203 |
| IPCOM 100 | E10L10～E10L12 NF0202 |
| IPCOM 150 | E10L10～E10L11 NF0200 |
| IPCOM 300 | E10L10～E10L10 NF0010 |
| E10L11～E10L11 NF0006 |
(注) 上記バージョンについては、製品設定画面のメニュー項目「システム設定＞稼働状況」にて確認可能です。
1-3. 発生事象／影響
製品の設定・管理時にhttps通信を利用しており、悪意を持った攻撃者によるDoS（Denial of Services: サービス継続不能）攻撃を受ける可能性があります。
なお、攻撃を受けた場合、製品の設定・管理は一時的に不可となりますが、WUIの再読み込みを行なうことにより、設定・管理機能は回復致します。
また、設定・管理が不可の時でも、トラフィックの中継には影響を与えません。
ただし、IPCOM300のアクセラレーター機能を使用している場合は、本機能を介する他の装置宛のSSLトラフィックを処理する際にも不具合が発生する可能性があります。
2. 対応方法について
2-1. 恒久対策
各製品で脆弱性対処済み修正ソフトウェア（ファームウェア）をインストールすることにより、恒久的な対策を行うことが出来ます。
| 対象製品 | 対策済ファームウェア | 提供日 |
|---|---|---|
| IPCOM 50 | E10L10NF0204 | 2004年4月30日 提供済 |
| IPCOM 100 | E10L12NF0204 | 2004年4月30日 提供済 |
| IPCOM 150 | E10L11NF0202 | 2004年4月30日 提供済 |
| IPCOM 300 | E10L10NF0011 | 2004年4月13日 提供済 |
| E10L11NF0007 | 2004年4月13日 提供済 |
2-2. 対処済ファームウェアの入手方法
脆弱性対処済みファームウェアは無償でご提供致します。
ファームウェアの入手についてはご購入いただいた販売会社または弊社担当営業へお問い合わせください。
また、ご希望がある場合は有償にてインストール代行サービスも提供しております。
【ご注意事項】
脆弱性対処済ファームウェアをインストールする場合、システム停止を伴う場合があります。
2-3. 当面の回避策
以下の回避策を講じて頂くことにより、本事象の回避が可能です。
当該装置のWUIへアクセスする端末を、信頼できる管理者端末のみアクセスできるよう設定する。
なお、IPCOM300については、SSLアクセラレーター機能をご使用の場合、最新ファームウェアでの対応以外の回避方法はございません。
2-4. お問い合わせ先
お問い合わせ先につきましては、対象製品をご購入頂いた販売会社、弊社担当営業、または以下へお問い合わせ下さい。
プラットフォームソリューションセンター プロダクトマーケティング統括部
エンタープライズサーバビジネス推進部
Tel: (03)6252-2654 (直)
以上
