概要
MikroTik RouterOS 6.49.8 において、SCEPエンドポイント（nova/lib/www/scep.p）の ASN1_STRING_data 処理における transactionID および messageType パラメータに境界外読み取り（Out-of-Bounds Read）の脆弱性が存在します。
攻撃者はリモートからこの脆弱性を悪用し、メモリ上の機密情報を取得したり、サービス拒否を引き起こす可能性があります。この脆弱性は公開済みですが、ベンダーからの応答はありません。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.3 |
| 深刻度 | High |
| CWE | CWE-119 / CWE-125 (境界外読み取り) |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| RouterOS | MikroTik | 6.49.8 |
修正バージョンと回避策
- 本稿執筆時点で修正版は未リリースです（ベンダー応答なし）
- SCEPサービスが不要な場合は無効化する
- SCEPエンドポイントへのアクセスをファイアウォールで制限する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。