セキュリティの脆弱性: CVE-2024-3661: トンネルビジョン

2024年5月6日、Leviathan Security Groupは技術によってほとんどのVPNアプリケーションをバイパスする方法を詳細に解説した記事を公開しました。（CVE-2024-3661） この技術により、攻撃者は多くのVPNクライアントを欺いて、通信を暗号化されたトンネルではなくサイドチャネルを通して送信させることができます。 通信はサイドチャネルを通して非カプセル化され、攻撃者に盗聴される可能性があります。 詳細については、Catoブログをご覧ください。

重大度

CVSSスコア 7.6 (高)

影響

影響を受けたクライアント：

• Windows
• macOS
• iOS
• Linux

現在のところ、CatoはCatoの顧客を標的とする悪意のある利用試行を認識していません。

解決策

Windowsクライアントでは、レジストリキーを使用して"Delete Static Routes"機能を有効にします。 これにより、Catoによって管理されていないすべてのスタティックルートを削除するようクライアントを設定します。

これにより、次にクライアントがCatoクラウドに接続するときに効果が現れます。 Always-Onが有効な場合、ユーザーはAlways-Onをバイパスする必要があるかもしれません。 Always-Onをバイパスする方法については、一時的にセキュアなインターネットアクセスをバイパスするをご覧ください。

レジストリキーを手動またはMDMで設定できます。

Windowsレジストリを手動で設定するには：

1. レジストリのこの場所に移動：HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN
2. このキーを定義：DeleteStaticRoutes=1(DWORD)

MDMでWindowsレジストリを設定するには：

1. このコマンドを実行：reg add "HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN" /v DeleteStaticRoutes /t REG_DWORD /d 1 /f

他の影響を受けるオペレーティングシステムに対する更新を進めていますが、それらは利用可能になり次第発行されます。

追加の推奨事項

管理されたネットワークや公共または信頼されていないネットワークが関与する状況でセキュリティを向上させるために、これらの追加の推奨事項は脆弱性を軽減するのに役立ちます。

• ローカルネットワークでのDHCP攻撃の軽減：管理者は、悪意のあるDHCPサーバーの導入からネットワークを保護するために、DHCPスヌーピングのようなネットワークスイッチ上の設定を有効にできます。
• セルラーホットスポットを使用：公共Wi-Fiの代わりにセルラーネットワークを使用することで、ネットワークがモバイルデバイスによって制御されるため、リスクを軽減できます。
• オプション121の無効化：可能な限りエンドポイントでこれを無効にします。ただし、これにより一部のネットワーク接続が中断する可能性があることを考慮してください。