VPNソフトウェア「strongSwan」の脆弱性2件（CVE-2026-35330 / CVE-2026-35334）を当社エンジニアが発見

このたび、当社エンジニアが、VPN（Virtual Private Network）の構築に広く利用されているオープンソースソフトウェア「strongSwan」に存在する2件の脆弱性を発見しました。

発見した strongSwan の脆弱性は、以下の2件です。これらの脆弱性は、弊社エンジニアから strongSwan 開発チームへ報告され、修正版である strongSwan 6.0.6 の公開とともに、2026年4月22日にセキュリティ情報が公開されました。

strongSwan とは

strongSwan とは、IPsec VPNを構築するためのソフトウェアであり、Linuxをはじめとするさまざまな環境で利用されており、IKEv1/IKEv2や各種認証方式に対応しています。

VPNは、企業ネットワークへのリモートアクセスや拠点間接続など、組織のネットワークを外部と安全に接続するための重要な仕組みです。その一方で、VPNはその性質上、インターネットとの境界に配置されるケースも多く、VPNを構成するソフトウェアに存在する脆弱性は、組織のセキュリティを考えるうえで重要な問題となります。

当社では VPN の脆弱性に関する調査において、strongSwan に関する技術調査を進めていく過程で、今回の２件の脆弱性を発見しました。

CVE-2026-35330：EAP-SIM/AKA属性処理における脆弱性

1件目は、strongSwan の EAP-SIM および EAP-AKA 認証プラグインが共有する共通ライブラリ・モジュールである libsimaka におけるEAP-SIM/AKA属性の処理に関する脆弱性です。

EAP-SIMおよびEAP-AKAは、IKEv2における認証などで利用される認証方式です。

今回の脆弱性は、特定のEAP-SIM/AKA属性を処理する際、属性ヘッダの長さを示す値が 0 であるケースが適切に検証されていませんでした。このため整数アンダーフローが発生し、条件によっては無限ループやヒープベースのバッファオーバーフローにつながります。

認証等も不要であり、リモートから任意コードが実行できるということで、CVSS v4 では 9.2 と高いスコアになっております。

CVE-2026-35334：RSA復号処理におけるNULLポインタ参照

2件目は、strongSwanの gmp プラグインに実装されたRSA復号処理に関する脆弱性です。

gmp プラグインでは、RSA復号後のデータが有効な結果であるかを十分に確認しないまま、PKCS#1 v1.5パディングの確認・除去処理を行っていました。このため、特定の入力によってRSA復号結果が0になると、後続処理でNULLポインタを参照し、strongSwanのプロセスがクラッシュすることを確認しました。

gmp プラグインがロードされている場合、未認証でリモートから strongSwan への DoS 攻撃が可能となります。

VPN の脆弱性を調査する重要性

VPN は、社外から社内ネットワークへのリモートアクセスや、拠点間ネットワークの接続などに広く利用されています。

特に VPN ゲートウェイは、インターネットと組織内部のネットワークとの境界に位置することが多く、攻撃者から見ても重要な攻撃対象となり、VPN 製品そのものに脆弱性が存在した場合、認証や暗号化によって通信を保護していても、その実装部分が新たな攻撃経路となる可能性があります。

そのため、VPN のセキュリティでは、認証方式や暗号スイートなどの設定を確認するだけではなく、VPN を構成するソフトウェア自体に潜在的な脆弱性が存在しないかを検証することも重要です。

VPN は組織のネットワークを守るための重要なセキュリティ境界の一つですが、「VPN を導入していること」だけで安全性が保証されるわけではありません。VPN 装置や VPN ソフトウェアには、設定不備だけでなく、今回のstrongSwanの事例のように実装そのものに未知の脆弱性が存在する可能性があります。

当社では、こうした研究活動で得られた知見を活用し、VPN を含むネットワーク境界のセキュリティ検証や、脆弱性診断・ペネトレーションテストの高度化に取り組んでいます。

今後もソフトウェアやネットワーク機器の脆弱性研究を継続し、そこで得られた知見を製品・サービスの研究開発や、お客さまのセキュリティ向上に還元してまいります。

MUSHIKAGO がお役に立てること

当社が提供するハードウェア型セキュリティテストデバイス「MUSHIKAGO」は、企業内に存在するデバイスを可視化し、それらの未発見のリスクを実際の攻撃視点で洗い出すためのツールです。本記事のようなゼロデイ脆弱性を発見する機能についても、一部のお客さま環境でご利用いただいております（現在は標準機能ではなく、ご相談の上でのオプション機能となっております）。

• 企業内に存在するデバイスをすばやく可視化
• デバイスごとのセキュリティリスクを検出
• インターネット接続不要でクローズド環境（工場・OT/ICS）にも対応
• 経済産業省（METI）国産セキュリティ製品選定実績
  

「自社のネットワークやデバイス状況を詳細に把握したい」「自社の環境に本当にリスクがないか確認したい」「ペネトレーションテストを初めて検討している」という企業様はお気軽にお問い合わせください。

MUSHIKAGOの詳細・お問い合わせはこちら
https://powderkegtech.com/ja/mushikago/

参考

strongSwan Vulnerability (CVE-2026-35330)：https://www.strongswan.org/blog/2026/04/22/strongswan-vulnerability-(cve-2026-35330).html
strongSwan Vulnerability (CVE-2026-35334)：https://www.strongswan.org/blog/2026/04/22/strongswan-vulnerability-(cve-2026-35334).html