Treck TCP/IP stack IPv6 の範囲外読み取りの脆弱性（CVE-2020-11899）

何が起きた

Treck TCP/IP stack に、IPv6 の通信を処理するときに、本来読んではいけない範囲のメモリを読んでしまう弱点（範囲外読み取り）が見つかり、実際に悪用が確認されています。NVD の評価では、同じネットワーク内の攻撃者が、ログインも利用者の操作もなしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録と NVD では、Treck TCP/IP stack の 6.0.1.66 より前の版が影響を受けるとされています。Treck の脆弱性情報のページでは、この弱点を含む一連の弱点（VU#257161）は 6.0.1.61 以前の版に影響するとしています。この部品は多くの機器に組み込まれていますが、どの製品に使われているかは、このデータからは不明です。

何をすればいい

修正版の番号は出典によって違います。CVE の記録と NVD では 6.0.1.66 より前が影響を受けるとされ、CERT/CC は Treck の最新の安定版（6.0.1.67 以降）への更新を勧めています。Treck は、Treck から直接ライセンスを受けていない製品を使っている場合は、機器のメーカーや販売元に問い合わせるよう案内しています。この部品が入った機器を使っている場合は、そのメーカーが出す更新を適用してください。

やることチェックリスト

• 機器に Treck の部品が入っているか確認する
• 機器のメーカーや販売元に問い合わせる
• メーカーが出す更新を適用する

用語メモ

TCP/IP stack

機器がネットワークで通信するために必要な決まりごと（TCP/IP）を処理するソフトウェアの部品のことです。

IPv6

インターネットで機器を見分ける住所（IP アドレス）の新しい方式のことです。

範囲外読み取り

プログラムが、決められたメモリの範囲を超えてデータを読んでしまう不具合のことです。