ウインドリバーの「VxWorks」に複数の脆弱性--JVN

　独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は8月3日、Wind River Systemsが開発する「VxWorks」に複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。

　ひとつは、認証API（loginLib）における問題で、使用されているハッシュ関数に衝突耐性の不備が存在するという脆弱性。正規のパスワードと同一のハッシュ値が算出される文字列を見つけることが比較的容易であるため、本認証APIを使用しているサービスにアクセスされる可能性がある。

　対策方法として、認証API（loginLib）で使用されているデフォルトのハッシュ関数（loginDefaultEncrypt()）の使用を停止し、より安全なハッシュ関数を使用するよう呼びかけている。loginEncryptInstall()を使用することで、新たな暗号アルゴリズムを追加することが可能だ。

　もうひとつは、開発者向けのデバッグサービスである「VxWorks WDB target agent」が、VxWorksの設定においてデフォルトで有効になっていること。これにより、攻撃者はWDBサービスを使用することでデバイスを操作することが可能になる。

　対策方法としては、VxWorksイメージからINCLUDE_WDBおよびINCLUDE_DEBUG コンポーネントを削除することで、WDBサービスを無効にすることを推奨している。また、デバッグサービスを無効にするまでの回避策として、UDP 17185ポートへのアクセスを制限するよう呼びかけている。