VoIPネットワークを脅かす欠陥見つかる

　英国政府が実施した技術審査の結果、VoIPとテキストメッセージングを使うMicrosoftやCisco Systemsなどの製品に、セキュリティ上の欠陥が複数見つかった。

　これらの欠陥は、ITU H.323標準として知られるリアルタイムのマルチメディアコミュニケーション／処理標準をサポートするソフトウェアとハードウェアに影響を及ぼす。

　これらのセキュリティの問題には、H.323をサポートする製品をクラッシュさせてしまう可能性がある。たとえば、自社製のIOSオペレーティングシステムが動作するCiscoの通信製品では、この脆弱性を悪用することで機器をフリーズさせたり、勝手に再起動したりできる。一方、MicrosoftのSmall Business Serverの2000および2003に含まれるInternet Security and Acceleration Server （ISA） 2000では、この脆弱性によって攻撃者にシステムを乗っ取られる可能性がある。

　Microsoftの場合、企業のネットワークをオンライン攻撃から守る役目のInternet Security and Acceleration Serverでこの脆弱性が見つかったのは、何とも皮肉なことだ。

　これに関して、Microsoftのセキュリティプログラムマネジャー、Stephen Toulouseは、「以前も同じような状況があった。一定レベルの人為的ミスは、たとえそれがセキュリティソフトウェアであっても排除できない」と語った。

　Microsoftは米国時間13日に、時間をとって同ソフトウェアのテストを行いたいという顧客向けに、ISAサーバ向けのパッチをリリースし、また影響を受けたサービスを無効にする方法を公開した。

　また13日にはCisco Systemsも、影響のある製品について概説した勧告と、これらの製品にパッチを当てる方法を公表した。攻撃を受けやすい製品には、CallManagerのバージョン3.0〜3.3、Conference Connection、Internet Service Node、そして複数のVoIPスイッチなどが含まれる。

　ほかにも数社の企業が、影響を受けると思われる製品を製造しているが、13日正午までに勧告とパッチを公開したのは、CiscoとMicrosoftだけにとどまっている。

　この問題に関しては、Avaya、富士通、Hewlett-Packard（HP）、Lucent、およびNortelの各社が調査を進めている。Apple、日立、NetBSD、Red Hat、およびSymantecは、自社製品にこの欠陥の影響はないとの判断を下している。

　これらの欠陥を発見したのはインターネットのセキュリティを監視する英国のNISCC（National Infrastructure Security Coordination Centre）。同グループは、英国の重要な通信インフラで利用される各種製品をテストしていて、この問題を発見した。

　このテストに使われたプログラムの開発は、フィンランドのUniversity of Ouluで進められているもの。同大学のSecure Programming Groupは、ネットワーク通信規格のなかにある欠陥を見つけ出すためのツールを開発した。2年前には、このグループの作業によって、インターネットや他の通信ネットワークで広く使われていた基本的な規格のなかに重大な欠陥があることが明らかになった。また昨年、同グループは、VoIPネットワークで利用されている、Session Initiation Protocol（SIP）のなかにも複数の欠陥があることを発見していた。

　米国のComputer Emergency Response Team (CERT) Coordination Centerは13日、NISCCからの情報に基づいて、勧告を発表している。