Diffie-Hellman鍵交換におけるサービス運用妨害（DoS）の脆弱性（JVNDB-2026-030389）

JVN（Japan Vulnerability Notes）は、Diffie-Hellman鍵交換においてサービス運用妨害（DoS）の脆弱性が存在すると公表した。なお、本脆弱性が最初に公開されたのは2021年11月で、今回のJVNアドバイザリは2026年8月26日に公表された。影響範囲の確認と対策の適用が重要である。

脆弱性の詳細

JVN（Japan Vulnerability Notes）によると、Diffie-Hellman鍵交換では、攻撃者が細工した通信を送ることで過度な計算負荷を発生させ、結果としてサービスが遅延・停止するなどのサービス運用妨害（DoS）状態に至る可能性がある。JVNは本件をDoSの脆弱性として整理している。

本件に対応するCVEレコードは、CVE-2002-20001、CVE-2022-40735、CVE-2024-41996である。JVNの記載では、これらはいずれもDiffie-Hellman鍵交換に起因するDoSの脆弱性として扱われている。

JVNによると、主なリスクは情報の窃取や改ざんではなく、業務システムや公開サービスが利用不能または著しく遅くなることにある。特に外部から到達可能なVPN、リモートアクセス、Web、メールなどの暗号化通信を提供する環境では、影響が顕在化しやすい点に注意が必要である。

影響を受ける製品・バージョン

• JVNアドバイザリで「該当製品あり」とされた富士通株式会社の製品群
• Diffie-Hellman鍵交換を用いる暗号化通信機能を備え、当該条件に該当する実装・設定の製品

推奨される対策

• ベンダーが提供する修正版・更新プログラムの適用：JVNおよび製品ベンダーが示す修正情報に従い、該当する製品・ソフトウェアをアップデートする。
• 影響を受ける機能・設定の見直し：Diffie-Hellman鍵交換の利用条件について、JVNおよび製品ベンダーの案内に従い、推奨設定へ変更する。
• 公開範囲の縮小：インターネットに直接公開している管理系画面や不要な暗号化通信の受付を停止し、必要最小限の到達範囲に限定する。
• 監視と制限：異常なハンドシェイクの増加やCPU使用率の急増を監視し、必要に応じて通信制限やレート制限など、ベンダーが案内する回避策を適用する。

日本の中小企業が今すぐ取るべき行動

• 優先度1：社内外（クラウド含む）で暗号化通信を提供している機器・サーバ（VPN、リモートアクセス、Web、メール等）の棚卸しを行い、対象製品の有無を確認する。
• 優先度2：対象があれば、ベンダーの更新手順に沿って計画を立て、営業時間外にアップデートを適用する（適用前にバックアップと切り戻し手順を準備）。
• 優先度3：当面のリスク低減として、不要な公開ポートや外部からの到達経路を閉じ、アクセス元を制限する（許可リスト化など）。
• 優先度4：監視項目（CPU、メモリ、セッション数、通信エラー）を確認し、急増時に担当者へ通知されるよう設定する。
• 優先度5：取引先・委託先が運用する機器（VPN装置、リモート保守経路など）についても、当該アドバイザリに沿った対応状況の確認を依頼する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、暗号設定が古い互換設定のまま残っているケースで、特定の鍵交換方式を許容している点が見つかることがある。診断報告書でよく指摘されるのが、設定の根拠が不明で、更新の影響確認が怖くて放置される運用である。

まず、公開しているVPNやWebサーバ、ゲートウェイ機器の型番とバージョンを一覧化し、該当の有無を確認してください。次に担当者またはベンダーに、JVNに沿った修正適用と推奨設定への変更可否を確認・実施してもらうのが近道です。

参照: Diffie-Hellman鍵交換におけるサービス運用妨害（DoS）の脆弱性