具体的には、下記のように後部にコマンドを記載したhttpリクエストをルータのIPアドレス宛に送信するだけで、root権限で任意のコマンドを実行出来てしまうんだとか。
http://ルータIPアドレス
マジですか。。。何がどうすればこんな事態が起こりうるのか、あまりの意味不明っぷりにもはや呆然とする他ありませんね。一応これもinjection攻撃に分類される脆弱性という事になるんでしょうけれども、しかしこれ、通常injection攻撃の文脈で言う脆弱性はオーバーラン等を利用する隠れたものを指すものであるところ、これは隠れたものではない、どころか普通にコマンド入力のインタフェースが設けられているようにしか見えないわけで、要するに設計ミスによる欠陥というべきものではないのかと。確かに脆弱性には違いないんでしょうが、通常の脆弱性とは異なり、メーカーの重過失によるものにつき、これによる被害は一義的にメーカーに帰責されるべきものと言わざるを得ないでしょう。悪意があったものとまでは思いたくないところですが、公式の説明は未だ無い以上、その点については現時点ではいずれとも判じる事は出来ません。
なお、対象については、CERTの報告によれば、同社製のR7000とR6400が確定しているのに加え、同様のファームを使用している筈の同系統製品群はおそらく該当するだろうとの事で、このシリーズはそのカタログスペックの高さから世界的に良く売れているものでもありますから、その膨大な数のルータが即座に乗っ取られ放題という、それはそれは大変な事態になってしまったわけです。
本件への対策としては、既にリリースされている対策済のファームウェアを適用するまで使わない、というものしかない事は明らかで、各所で即時の使用停止が呼びかけられています。しかし、ルーターを使うな、と言いわれても、それはネットを使うなと言われているに等しい場合も多いでしょうし、そもそも気づかないユーザの割合も小さくはないでしょうから、十分に対策が行き渡るまでどれだけの時間がかかるかも未だ見通せない状況で、当然ながらそれらの無防備な分につき諸々の攻撃による被害が懸念されています。いや大変な事になりましたね。しかし、当のメーカー自身はというと、公式サイトでは本件について触れてすらいないばかりか、クリスマス向けに直ぐ入手出来る旨の、当該Wifiルータ製品群の宣伝及びオーダーの受付窓口を大々的に掲げている始末という。危機感が薄いのか、あるいはあまりに致命的に過ぎて、無かった事にしようと絶望的な試みに走ったのか。いずれにしろ論外と言わざるを得ないわけですけれども。
一応、R7000及びR6400自体は、同社の個人向け製品群の中ではハイエンド寄りのモデルにつき、対象がそれらハイエンドカテゴリの製品群に限定されるのであれば、リテラシが高く迅速に対処出来るユーザが比較的多数を占めるでしょうから、まだ被害は限定的に留まる可能性もあるにはあります。ただ、こういうインタフェース部分は廉価版と共通にするのが通常でしょうから、実際のところはあまり期待は出来ないだろうものと思われるところです。
しかしNetgearがねぇ。。。老舗の専業という事で、評価は最も高い部類のメーカーだった筈なのですけれども、これで一気に評価を落とし、信用を失うだろう事も避けられないでしょう。直近の決算は悪くないようですけれども、おそらく本件は長引くでしょうし、さてどうなることやら。ソニーの監視カメラの件といい、過去の販売実績やブランド等ももはや全くあてにならない、という事なんでしょうか。だとしたら、極めて残念な事です。
Vulnerability Note VU#582384 Multiple Netgear routers are vulnerable to arbitrary command injection
[関連記事 [IT biz] ソニーが監視カメラにバックドアを仕込んでいた事が発覚]
Posts
