Webmin／Virtualmin の脆弱性 CVE-2024-2169 がFIX：直ちにアップデートを！

Webmin/Virtualmin Vulnerability Opens Door to Loop DoS Attacks (CVE-2024-2169)

2024/09/04 SecurityOnline — Webmin／Virtualmin に、サービス拒否 (DoS：Denial-of-Service) 攻撃を引き起こす深刻な脆弱性 CVE-2024-2169 が発見され、早急な対応を求められている。この脆弱性は、Webmin 2.202 未満／ Virtualmin 7.20.2 未満に影響を及ぼす。脆弱性 CVE-2024-2169 は、Webmin／Virtualmin の UDP サービスにおける不適切な検出メカニズムに起因する。このサービスは、コントロール・パネルにアクセスが可能な、IP アドレスとポートを明らかにすることで、UDP リクエストに応答するものだ。この動作は、一見無害に見えるが、攻撃者により悪用されると、Loop DoS 攻撃が引き起こされる可能性が生じる。

この Loop DoS 攻撃では、他の Webmin インスタンスのアドレスを偽装する攻撃者が、なりすましたソース IP アドレスとポートで UDP パケットを作成する。これらのパケットが脆弱な Webmin／Virtualmin サーバに送信されると、そのサーバは自身の IP アドレスとポート情報で応答する。しかし、送信元アドレスが偽装されているため、その応答は別の無防備な Webmin サーバに返され、結果として２台のサーバ間でトラフィックの無限ループが発生する。

この無限ループにより、サーバのネットワーク帯域幅と計算リソースが消費させられ、最終的には、正当なユーザーがサーバにアクセスできなくなる。また、この攻撃は、複数の Webmin インスタンスを巻き込むことで増幅され、影響がさらに拡大する。

脆弱性 CVE-2024-2169 を緩和するために推奨されるのは、修正プログラムを取り込んでいる、最新バージョン Webmin 2.202／Virtualmin 7.20.2 へのアップグレードである。アップグレードが不可能な場合には、回避策として、インターネットからの UDP ポート 10000 へのアクセスを一時的にブロックすべきである。

Webmin／Virtualmin は広く使用されており、この脆弱性の悪用が比較的容易であることを考えると、直ちに対策を講じることが、管理者にとって極めて重要となる。Loop DoS 攻撃攻撃が成功すると、重要なサービスが中断され、多大な経済的損失が引き起こされる可能性が生じる。

文中でも指摘されているように、広く利用されている Webmin／Virtualmin なので、その影響の範囲も広大になるはずです。ご利用のチームは、十分に ご注意ください。よろしければ、2024/07/10 の「Webmin の 脆弱性 CVE-2024-36451 (CVSS 8.8) が FIX：セッション・ハイジャックに至る」も、ご参照ください。