ルーターのぜい弱性を利用した攻撃：パッチの手動インストールが必要

先週、ある著名なセキュリティ研究者がCisco Systems開発の Linksysルーターに非常に危険なセキュリティ上のぜい弱性が多く含まれていることを突き止め、騒ぎになりました。Cisco Systemsはすぐに問題の沈静化をはかり、このぜい弱性は数か月前のセキュリティアップデートで解決されていると主張しました。

アプリケーションセキュリティコンサルティング会社 AppSec Consultingの研究者であるPhil Purviance氏は、Cisco Linksys EA2700 Network Manager N6000 Wireless-Nルーターには多数のぜい弱性があると述べました。このルーターは家庭や小規模な企業ネットワークで広く使われています。これらのバグにより、リモートの攻撃者がルーターのデバイス自体やパスワード、設定ファイルにアクセス可能となり、最終的には設定を変更し、改ざんされた悪意あるファームウェアをルーターにアップロードすることができる、と同氏は指摘しています。もしも攻撃者がぜい弱性を持つルーターと同じネットワーク内にいるようなことがあれば、パスワードを変更してルーターを制御することもあり得ます。

Purviance氏によると、ぜい弱性を利用してルーターを悪用する方法は、非常にシンプルなものからひどく込み入ったものまで多種多様です。シンプルなものの1つは、影響を受けるネットワーク上のユーザーを、悪意あるコードが仕込まれWebサイトに誘導することです。ほかには、攻撃者がアドレスバーに特殊な文字を貼り付け、ルーター管理者のインターフェイスにアクセスしようとするものもあります。最初の方法では、攻撃者はぜい弱性のあるデバイスのパスワードを既定のパスワード（「password」）に変更します。2つ目のものは危険度がかなり高く、デバイス固有のソースコードがアクセス可能な状態になります。つまりルーターを保護し、ルーターが機能するのに不可欠なコードに攻撃者がアクセスできてしまうのです。もっとぴったりな言い方があるかもしれませんが、ルーターとはつまり、このコードといくつかの配線、そしてプラスチックのケースでできているのです。

「わたしが見つけたのはとても恐ろしく、受け入れることなど到底できない事態でした」とPurviance氏はブログ記事に書いています。「EA2700ルーターを使って構成されているあらゆるネットワークは安全でないという結論に達するまでに、ほんの30分しかかかりませんでした」

同氏はさらに続けます。

「このぜい弱性が存在するということは、このルーターのソフトウェアでは1度もペネトレーションテストが実施されなかったのだと思います。侵入するのがあまりにも簡単すぎたからです」

コンシューマー向けデバイスなどを製造する企業は、製品が攻撃者によって簡単かつ短時間で悪用されることがないように、製品のぜい弱性を検知するためのペネトレーションテストを実施することを期待されています。

この点についてCiscoはすぐに、2012年6月にリリースされたアップデートによってそうしたぜい弱性の問題が解決されていること、また2012年6月以降にEA2700を購入またはネットワークに設置したユーザーは、そうした欠陥からは守られていることを明らかにしました。

それでは、何が問題なのでしょうか。ぜい弱性のパッチが提供され、デバイスはアップデートされています。簡単に解決できたのではないのでしょうか。

そんなに簡単ではない、と指摘するのは、Rapid7のエンジニアリングマネージャーであるTod Beardsley氏です。定期的にインストールの必要がある通常のソフトウェアやコンピューターのアップデートとは異なり（最近のMicrosoftのパッチには問題もあったようですが）、ルーターのファームウェアアップデートを適用してぜい弱性に対処するのはそれほどたやすい（もしくは自動でできる）ことではないのです。

「ルーターのぜい弱性と、従来のPCベースのぜい弱性（JavaやWindowsのぜい弱性）が大きく異なる点は、製造元のパッチが存在するかどうかが問題なのではない、ということです。製造元がパッチを適用したファームウェアをそれらのデバイス用にリリースしたとしても、ユーザーの多くは知りようがないのです。そうしたデバイスには自動アップデートの機能はなく、そのような低メモリ、低パワーのデバイスで実行できるアンチウイルス製品のようなものもありません。その結果、このようなバグが非常に長い期間存在し続けることになるのです」と Beardsley氏は述べています。

「加えて、もし攻撃者がデバイスをコントロールできるようになった場合、そのデバイスに関連付けられているすべてのデバイスについても有効に制御できるようになります。DNSポイズニングや悪意あるサイトへのトラフィックのリダイレクト、HTTPセッションへのフィッシングリンクの挿入、ファイアウォールルールの無効化などが可能になります。想像力のおよぶ限りのあらゆる方法で攻撃できるのです。これは内部ネットワーク上のコンピューターだけでなく、無線接続している電話にも及びます」（Beardsley氏）