ネットワーク機器大手のCisco Systemsは7日(米国時間)、同社のワイヤレスLAN機器管理ソフトとデータセンタースイッチ管理装置の2製品に、悪用されるおそれのあるセキュリティ欠陥が見つかったと顧客に警告した。
Ciscoは自社ウェブサイトに掲載した警告で、同社のWireless LAN Solution Engine(WLSE)およびHosting Solution Engine(HSE)にユーザー名とパスワードがプリセットされているため、攻撃者がこれを悪用し、機器を完全に制御するおそれがあると発表した。制御権を手に入れた攻撃者は、新規ユーザーの追加や既存ユーザーの詳細情報変更、さらには機器の設定まで変更してしまえるようになると同社は記している。
WLSEは、Cisco Aironet シリーズとして販売されている、ワイヤレスアクセスポイントなどの製品を管理するソフトウェアだ。WLSEではAironet機器の設定や監視を簡単に行えるだけでなく、未許可もしくは悪質なアクセスポイントを検知するセキュリティ機能も備わっている。攻撃者がこの管理ツールの制御権を手にいれば、悪質なアクセスポイントの存在を隠したり、無線周波数の計画を変更するなどして、システム全体の故障を引き起こすおそれがある。
HSEは、Eビジネスサーバ間の負荷をバランスするスイッチなど、データセンターのネットワークインフラを管理する機器だ。HSEでは、認証されたユーザーがサービスや機器の監視やアクティベーション、設定などをファイヤウォールの外からも遠隔操作できるようになっている。攻撃者は、今回発表されたセキュリティホールを突いて機器へのアクセス権を手に入れ、データセンターを出入りするトラフィックをリダイレクトする踏み台としてこれを利用できてしまう。こうしたことから、ネットワークの停止や収入の損失につながることも考えられる。
今回のセキュリティホールは、WLSEのバージョン2.0、2.0.2、2.5とHSEのバージョン1.7〜1.7.3に関係する。Ciscoによると、この問題を回避する方法はないという。同社は顧客に対して、同社ウェブサイトに掲載されているソフトウェアパッチをダウンロードするよう強く呼びかけている。
なお、Ciscoではプリセットのログイン情報を悪用した攻撃の報告はまだ寄せられていないとしている。
この記事は海外CNET Networks発のニュースをCNET Japanが日本向け に編集したものです。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス