シスコ製品にセキュリティホール--WLSEとHSEで乗っ取りのおそれ

　ネットワーク機器大手のCisco Systemsは7日（米国時間）、同社のワイヤレスLAN機器管理ソフトとデータセンタースイッチ管理装置の2製品に、悪用されるおそれのあるセキュリティ欠陥が見つかったと顧客に警告した。

　Ciscoは自社ウェブサイトに掲載した警告で、同社のWireless LAN Solution Engine（WLSE）およびHosting Solution Engine（HSE）にユーザー名とパスワードがプリセットされているため、攻撃者がこれを悪用し、機器を完全に制御するおそれがあると発表した。制御権を手に入れた攻撃者は、新規ユーザーの追加や既存ユーザーの詳細情報変更、さらには機器の設定まで変更してしまえるようになると同社は記している。

　WLSEは、Cisco Aironet シリーズとして販売されている、ワイヤレスアクセスポイントなどの製品を管理するソフトウェアだ。WLSEではAironet機器の設定や監視を簡単に行えるだけでなく、未許可もしくは悪質なアクセスポイントを検知するセキュリティ機能も備わっている。攻撃者がこの管理ツールの制御権を手にいれば、悪質なアクセスポイントの存在を隠したり、無線周波数の計画を変更するなどして、システム全体の故障を引き起こすおそれがある。

　HSEは、Eビジネスサーバ間の負荷をバランスするスイッチなど、データセンターのネットワークインフラを管理する機器だ。HSEでは、認証されたユーザーがサービスや機器の監視やアクティベーション、設定などをファイヤウォールの外からも遠隔操作できるようになっている。攻撃者は、今回発表されたセキュリティホールを突いて機器へのアクセス権を手に入れ、データセンターを出入りするトラフィックをリダイレクトする踏み台としてこれを利用できてしまう。こうしたことから、ネットワークの停止や収入の損失につながることも考えられる。

　今回のセキュリティホールは、WLSEのバージョン2.0、2.0.2、2.5とHSEのバージョン1.7〜1.7.3に関係する。Ciscoによると、この問題を回避する方法はないという。同社は顧客に対して、同社ウェブサイトに掲載されているソフトウェアパッチをダウンロードするよう強く呼びかけている。

　なお、Ciscoではプリセットのログイン情報を悪用した攻撃の報告はまだ寄せられていないとしている。