SIPに係る既知の脆弱性に関する調査報告書

　SIPは、マルチメディアデータを端末間でリアルタイムに双方向通信するための通信プロトコルとして、コンピュータをはじめ、情報家電や携帯端末などの組込み機器へも使用が広まっています。

　SIPを実装したソフトウェアは、これまで多くの脆弱性が発見、公表され、機器ごとに対策が実装されてきました。しかし、こうした脆弱性の詳細な情報をとりまとめた資料がなかったことから、新たに開発されるソフトウェアで既に公表されている脆弱性の対策が実装されておらず、脆弱性が「再発」するケースが見受けられます。

　このような課題に対応するため、IPAでは、SIPに関する既知の脆弱性を取り上げ、SIP実装時の情報セキュリティ対策の向上を目指して調査を実施しました。

　本報告書は、一般に公表されているSIPに関する既知の脆弱性情報を収集分析し、詳細な解説書としてまとめました。具体的には、次のような脆弱性の詳細と、開発者向けの実装ガイド、ソフトウェアや機器を利用する運用者や利用者向けの運用ガイドを記載しています。

(1)「SIP(Session Initiation Protocol)/SDP(Session Description Protocol)に係る脆弱性」

　通信メッセージの漏えい、なりすまし、改ざん、パスワード解析など、SIPのプロトコルそのものに関するもの。

(2)「RTP(Real-time Transport Protocol)/RTCP(RTP Control Protocol)に係る脆弱性」

　音声、画像などマルチメディアデータの盗聴、なりすましなど、RTPのプロトコルそのものに関するもの。

(3)「コーデックに係る脆弱性」

　音声、ビデオなどの符号化方式そのものに関するもの。

(4)「ソフトウェアの実装に係る脆弱性」

　不正な形式のメッセージに配慮が足りない、識別子が予測されやすいなど、ソフトウェアの実装に関するもの。

(5)「管理機能に係る脆弱性」

　機器の設定方法、ソフトウェアの更新方法、説明書の記載に配慮が足りないなど、機器の管理に関するもの。

(6)「ID、構成情報に係る脆弱性」

　機器の識別情報の一覧が取り出されたり、製品内部の構成情報が漏洩するなど、機器の構成情報に関するもの。

　本書（全132ページ）は、次のURLよりダウンロードの上、ご参照ください。
http://www.ipa.go.jp/security/vuln/vuln_SIP.html

• 報告書概要（5ページ、421KB）
• プレスリリース全文（1ページ、20KB）

• 株式会社ユビテック
• 株式会社ソフトフロント

この調査には次の方々にもご協力いただきました。

• エヌ・ティ・ティ・アドバンステクノロジ株式会社（NTT AT）
• 沖電気工業株式会社
• 日本電気株式会社
• 日本電信電話株式会社 情報流通プラットフォーム研究所
• 株式会社 日立製作所
• 富士通株式会社

独立行政法人 情報処理推進機構 セキュリティセンター（IPA/ISEC） 山岸／渡辺

TEL：03-5978-7527　FAX：03-5978-7518
E-mail：

独立行政法人 情報処理推進機構 戦略企画部 広報グループ 横山／佐々木

Tel: 03-5978-7503 Fax:03-5978-7510
E-mail: