【ITニュース解説】SonicWall SMA1000 CVE-2026-102255: SSRF Attack Attempts Targeting Internal CouchDB

今回のニュースは、企業が外部から社内ネットワークへ安全に接続するための重要な機器である「SonicWall SMA1000」に発見された重大なセキュリティ上の弱点（脆弱性）と、それを利用しようとする攻撃の試みについて解説するものだ。この機器は、社員が外出先や自宅から会社のシステムにアクセスする際に利用される「リモートアクセスゲートウェイ」という役割を持ち、ネットワークの入り口に位置するため、もし攻撃が成功すると企業全体の情報セキュリティが危険にさらされる可能性がある。

今回注目されている脆弱性は「CVE-2026-102255」という識別番号が付けられており、その危険度は最高の「CVSSスコア10.0」と評価されている。これは「SSRF（Server-Side Request Forgery）」と呼ばれる種類の脆弱性で、外部の攻撃者がこの機器に特別な細工をしたリクエストを送ると、機器自身が、本来は外部から直接アクセスできないはずの内部のシステムやサービスに対して、攻撃者の意図するリクエストを代わりに送信してしまうというものだ。これは、機器が外部からの指示に誤って応じ、自身が持つ内部へのアクセス権限を悪用させられてしまう状態と言える。

実際に観測された攻撃の手口は次のような流れで進められた。まず、攻撃者はインターネットに公開されている「Appliance WorkPlace Extraweb」という、外部からの接続を受け付けるインターフェースに対して、通常の利用とは異なる「OPTIONS」という通信方法を使った、細工されたリクエストを送信した。このリクエストは、機器の内部で稼働している「CouchDB」というデータベース（データを管理・保存するソフトウェア）へのアクセスを指示するものだった。CouchDBは通常、「127.0.0.1:5984」という、機器内部からしかアクセスできないアドレスで動作している。

攻撃者はさらに、内部のCouchDBにアクセスする際に、「admin:admin」という、多くのシステムで初期設定として使われがち、または容易に推測されやすいユーザー名とパスワードを認証情報として送りつけた。そして、「_rewrite」というCouchDBの機能を悪用しようとした。この機能はデータベースの設定や動作を制御する能力を持つため、もし攻撃が成功していれば、機器の内部設定が勝手に変更されたり、重要な情報が盗まれたり、さらにはその機器を足がかりとして企業の内部ネットワーク全体への侵入が試みられたりする可能性があった。場合によっては、遠隔から機器のプログラムを勝手に実行する「RCE（Remote Code Execution）」や、不正にファイルを閲覧する「Path Traversal」、ウェブページに悪意のあるコードを埋め込む「XSS（Cross-Site Scripting）」といった、より深刻な攻撃につながる恐れも指摘されている。

今回の攻撃は、セキュリティ研究機関のPrevidianが運用する「ハニーポット」と呼ばれる、攻撃者の行動を監視するためのおとりシステムで観測されたものだ。攻撃の試みがあったことは確認されているものの、実際にシステムが完全に侵害され、データが盗まれたり設定が改ざんされたりといった成功が確認されたわけではない。攻撃が成功する条件としては、脆弱なバージョンのSMA1000がインターネットに公開されていること、そして攻撃者の細工したリクエストが内部のCouchDBに正しく転送され、意図した操作が受け入れられることである。

このような事態を受けて、SonicWall社はこの脆弱性を修正するための「ホットフィックス」（緊急の修正プログラム）を既に公開している。具体的には、バージョン「12.4.3-03670以降」または「12.5.0-03082以降」へのアップデートが推奨されている。システム管理者にとって最も重要な対策は、速やかにこれらの修正プログラムを適用し、機器のセキュリティを最新の状態に保つことだ。加えて、機器の管理インターフェースやWorkPlaceインターフェースをインターネットに直接公開するのを最小限に抑えること、そして「WAF（Webアプリケーションファイアウォール）」や「ACL（アクセス制御リスト）」などのセキュリティ機能を使って不審なアクセスを制限することも非常に効果的な防御策となる。

システム管理者やセキュリティ担当者は、この種の攻撃の痕跡を見つけるために、機器のログやネットワークの通信履歴を注意深く監視する必要がある。特に、WorkPlace/Extrawebへの異常なOPTIONSリクエスト、機器内部のCouchDB（127.0.0.1:5984）へのアクセス記録、_rewrite機能の利用、そして「admin:admin」のような、安易な認証情報が使われた形跡がないかなどを確認すべきだ。もし攻撃の兆候や成功の疑いがある場合は、直ちに該当機器をネットワークから隔離し、管理者のパスワードを変更するなど、迅速な対応が求められる。

このニュースは、システムエンジニアを目指す皆さんにとって、セキュリティの重要性を改めて認識する良い機会となるだろう。ソフトウェアやハードウェアには常に脆弱性が存在する可能性があり、それらを修正するためのパッチ適用、ネットワークの適切な設定、不審な通信の監視、そして迅速な対応がいかに重要であるかを教えてくれる。リモートアクセスゲートウェイのような、企業の重要なインフラが攻撃されると、情報漏洩や業務停止といった甚大な被害につながるため、このような脆弱性情報は常に最新のものを把握し、適切に対応できる能力が求められる。システムを構築し運用するエンジニアは、技術的な知識だけでなく、セキュリティに関する深い理解と、常に警戒を怠らない姿勢が不可欠となる。