セキュリティ情報:
「SNMPv3の認証プロトコルに関する脆弱性」のご報告

最終更新日 2008/06/30

1.出典

US-CERT Vulnerability Note VU#878044
Date： June 10, 2008

詳細につきましては以下の URL をご参照ください(新規ウインドウが開きます)。

• http://www.kb.cert.org/vuls/id/878044

2.概要

SNMPv3 (Simple Network Management Protocol version 3) は、認証機能、暗号化・復号化機能が利用可能なネットワーク管理プロトコルです。SNMPv3の認証プロトコルでは、なりすましやSNMPメッセージの改竄を検証するために、認証パラメータを使用します。この認証パラメータの値を意図的に変更することで、SNMPv3を使用した情報の取得や設定が可能となり、管理情報の漏洩やネットワーク設定を変更される可能性があります。

3.影響

認証パラメータは、RFC3414で12バイト長と決められていますが、本脆弱性は、SNMPメッセージに設定された認証パラメータ長に基づき、認証パラメータをチェックすることに起因します。そのため、認証パラメータ長を１バイトとしたSNMPメッセージを送付した場合、12バイト長の認証パラメータに比べて、認証の強度が弱くなり、SNMPメッセージを使った管理情報の漏洩や、意図しないネットワーク設定の変更の可能性が高くなります。

4.回避方法

認証プロトコルご使用の際は、暗号化プロトコルを併用して使用して頂くことで、なりすましやSNMPメッセージの改竄による、管理情報の漏洩や、意図しないネットワーク設定の変更に対する危険性を回避することができます。

5.対策

本脆弱性に対し、認証パラメータ長のチェックを追加したソフトウェアを以下の日程でリリース致します。

対策版リリース予定

装置シリーズ名	対象ソフトウェア製品略称	対策バージョン	対策版リリース日
GR2000	本脆弱性には該当しません	−	−
GR2000-B	本脆弱性には該当しません	−	−
GR4000	OS-R, OS-RE	10-08を予定	2008年10月予定
GS4000	OS-SW, OS-SWE	10-08を予定	2008年10月予定
GS3000	OS-SW, OS-SWE	10-08を予定	2008年10月予定

なお、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが，セキュリティ問題に関する情報は変化しており，記載している内容を予告なく変更することがありますので，あらかじめご了承ください。情報ご参照の際には，常に最新の情報をご確認いただくようお願いします。

6.対策バージョンの入手方法

対策版ソフトウェアの入手につきましては、弊社担当営業へお問い合わせください。

• ページの先頭へ