Array Networks AG/vxAG ArrayOS の認証の欠如の脆弱性（CVE-2023-28461）

何が起きた

Array Networks の AG と vxAG シリーズ（ArrayOS）に、大事な機能でログインの確認がされていない弱点が見つかりました。NVD の説明では、HTTP ヘッダーの flags という項目を使って、ログインせずに SSL VPN ゲートウェイの中のファイルを見て回ることができ、さらに弱い URL を通じて攻撃者がプログラムを動かせる（リモートコード実行）とされています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されており、ランサムウェアの攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Array AG シリーズと vxAG の 9.4.0.481 以前が影響を受けます。これらを SSL VPN として使っている組織が対象です。

何をすればいい

Array Networks の公式の案内を確認してください。NVD の説明によると、2023-03-09 のメーカーの案内では、修正を含む新しい版がまもなく出るとされていました。修正版の番号は、このデータからは不明なので、メーカーの案内で修正版や緩和策を確かめて適用してください。CISA は、対策できない場合は製品の利用をやめるよう求めています。

やることチェックリスト

• ArrayOS が 9.4.0.481 以前か確認する
• メーカーの修正版や緩和策を適用する
• 対策できなければ製品の利用を中止する

用語メモ

SSL VPN

暗号化した通信で、社外から社内のネットワークに安全に入るための仕組みです。

ゲートウェイ

ネットワークどうしをつなぐ出入り口の役割をする機器です。

HTTP ヘッダー

Web の通信で、本文とは別に送られる付属の情報です。

リモートコード実行

離れた場所から、ネットワークを通じて攻撃者が好きなプログラムを相手の機器で動かすことです。