JVNVU#90767599
複数のTCP/IPスタック製品における初期シーケンス番号の脆弱性

複数の TCP/IP スタックソフトウェアには、初期シーケンス番号（ISN）を特定可能な脆弱性が存在します。

• Nut/Net Version 5.1 およびそれ以前
• CycloneTCP Version 1.9.6 およびそれ以前
• NDKTCPIP Version 2.25 およびそれ以前
• FNET Version 4.6.3
• uIP-Contiki-OS Version 3.0 およびそれ以前
• uC/TCP-IP Version 3.6.0 およびそれ以前
• uIP-Contiki-NG Version 4.5 およびそれ以前
• uIP Version 1.0 およびそれ以前
• picoTCP-NG Version 1.7.0 およびそれ以前
• picoTCP  Version 1.7.0 およびそれ以前
• MPLAB Net Version 3.6.1 およびそれ以前
• Nucleus NET Version 5.2 より前のすべてのバージョン
• Nucleus ReadyStart for ARM、MIPS、PPC Version 2012.12  より前のすべてのバージョン
• Capital VSTAR すべてのバージョン
• Nucleus Source Code すべてのバージョン

複数の TCP/IP スタックソフトウェアには、初期シーケンス番号（ISN）生成ロジックが単調であったり、出力結果から初期シーケンス番号（ISN）を復号することが可能です。そのため、初期シーケンス番号（ISN）が特定可能な脆弱性が存在します。
一連の脆弱性を、発見者を「NUMBER:JACK」と呼称しています。

• 規則的な増加による不十分なランダム値の使用 (CWE-330) - CVE-2020-27213

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 線形合同法ジェネレーターによる不十分なランダム値の使用 (CWE-330) - CVE-2020-27630

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 線形合同法ジェネレーターによる不十分なランダム値の使用 (CWE-330) - CVE-2020-27631

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 規則的な増加による不十分なランダム値の使用 (CWE-330) - CVE-2020-27632

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 規則的な増加による不十分なランダム値の使用 (CWE-330) - CVE-2020-27633

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 規則的な増加による不十分なランダム値の使用 (CWE-330) - CVE-2020-27634

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 線形合同法ジェネレーターによる不十分なランダム値の使用 (CWE-330) - CVE-2020-27635

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 線形合同法ジェネレーターによる不十分なランダム値の使用 (CWE-330) - CVE-2020-27636

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• 取得可能な情報から生成された不十分なランダム値の使用 (CWE-330) - CVE-2020-28388

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

  基本値: 6.5

遠隔の第三者によって、TCP 接続を妨害されたり、通信相手になりすまされたりする恐れがあります。

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
下記製品は、サポートが終了した製品 (EOL) のためアップデートが提供されません。ワークアラウンドの実施や後継の製品への移行を検討してください。

• uIP-Contiki-OS
• uIP
• picoTCP
• uC/TCP-IP

• 制御システムや機器をインターネットから接続できないようにする
• 制御システムネットワークとリモートデバイスをファイアウォールで保護し、業務用のネットワークとは分離する
• トランスポート層セキュリティなどの暗号化プロトコルを利用して、転送されたデータを保護する