Arista無線APのC-260とC-250に脆弱性、修正版なし
Aristaの無線LANアクセスポイントC-260とC-250に、全台共通の固定鍵でファームウェア検証を破られる脆弱性が見つかり、修正版はありません。両機種を使う組織は、Aristaが示す回避策を早めに適用してください。
急ぎ度: 早めに
CVSS v3は8.8、v4は9.4と高く修正版もありませんが、Aristaは実際の悪用を把握しておらず、回避策が示されているため、早めの対応が妥当です。
関係があるか
Arista製の無線LANアクセスポイントC-260またはC-250を使っている組織が対象です。クラウド管理でもオンプレミス管理でも同じです。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Arista Wi-Fi Access Point C-260 | すべてのAPリリース | 修正版なし |
| Arista Wi-Fi Access Point C-250 | すべてのAPリリース | 修正版なし |
確かめ方
- 1管理画面の機器一覧で、アクセスポイントの型番にC-260かC-250が含まれるかを確認します。
- 2他機種の無線APは、署名付きアップグレードイメージとセキュアブートを強制しており、今回の脆弱性の影響を受けません。
- 3EOS搭載のスイッチ各シリーズ、CloudEOS、CloudVisionの各製品、VeloCloud、NG Firewallなども、Aristaは影響なしとしています。
- 4ソフトウェアの版で絞り込むことはできません。C-260とC-250であれば、版を問わず対象です。
何が起きたか
C-260とC-250には、出荷時から全台共通の暗号鍵が入っています。この鍵を手に入れた攻撃者は、正規品として検証を通る改変ファームウェアを作れます。
鍵の用途は2つです。1つはファームウェアイメージの検証、もう1つはSSLPの認証です。1台から取り出した鍵が、同じ機種のすべての機器で通用します。いわば、全室が同じ合鍵で開くホテルのようなものです。分類はCWE-798（ハードコードされた認証情報の使用）です。
Aristaが社内で発見しました。他機種は署名付きのアップグレードイメージとセキュアブートを強制しているため、対象外です。
攻撃の流れ
-
1
共通鍵の入手
全台で共通の固定鍵に、攻撃者がアクセスできる状態になります。
-
2
改変FWの作成
入手した鍵を使い、検証を通る改変ファームウェアを作ります。
-
3
検証を通過
アクセスポイントが改変ファームウェアを正規品として受け入れます。
-
4
機器の乗っ取り
無線LANの基盤であるアクセスポイントの動作を、攻撃者が握ります。
どう悪用されるか
攻撃者が共通の固定鍵にアクセスできることが前提です。CVSSの評価では、攻撃元は隣接ネットワークで、認証と利用者の操作は不要、攻撃の複雑さは低とされています。Aristaは、悪用に特別な設定は要らないと説明しています。
悪用されると、改変されたファームウェアがアクセスポイントに受け入れられます。CVSSでは機密性・完全性・可用性のすべてが高と評価されています。v4では、接続先のシステムへの影響も高です。
今すぐやること
-
1
C-260とC-250の台数と設置場所を洗い出す
管理画面の機器一覧から、対象の2機種を拠点ごとに把握します。クラウド管理とオンプレミス管理の両方を確認します。
-
2
Aristaが示す回避策を適用する
HMACベースのファームウェア検証のフォールバック経路を無効にし、すべてのアップグレードで署名検証を必須にします。手順は回避策の欄のとおりです。クラウド管理ならArista TACに依頼します。
-
3
アクセスポイントの管理系ネットワークを絞る
攻撃元は隣接ネットワークと評価されています。管理用のセグメントや無線LANの接続範囲に、不要な端末や来訪者用の経路が混ざっていないかを見直します。
-
4
ファームウェアの状態を確認する
対象機のファームウェアの版や更新履歴に、心当たりのない変更がないかを確認します。侵害の痕跡を調べる指標は、Aristaからは提供されていません。
-
5
修正版の案内を追う
修正版は現時点でありません。Arista側でセキュリティ告知（Security Advisory 0227）の更新を確認し、修正版が出たら更新します。
修正版がないあいだのつなぎ
Aristaは、すべてのファームウェア更新で署名検証を必須にするため、HMACベースのファームウェア検証のフォールバック経路を無効にするよう案内しています。
クラウド管理の場合は、Arista TACに連絡して無効化を依頼します。
オンプレミス管理の場合は、まずHA構成のアクティブノードを特定し、変更はアクティブノードだけに適用します。
- CVPのシェルからrootで、
nerdctl exec -it wifimanager -- bashを実行してWi-Fi Managerのコンテナに入ります。 - コンテナ内で設定用のCLIコマンドset config parameterを使い、
upgrade_hmac_fallback_enabledの値を0にします。configidは1と3の両方が対象です。 - 変更を反映するため、
sserverdを再起動します。
背景
アクセスポイントは、社内のあらゆる端末が最初につながる機器です。天井や壁に据え付けられて常時稼働し、ファームウェアが書き換えられても気づきにくい場所にあります。そのため、ファームウェアが正規品かどうかを検証する仕組みが、機器全体の信頼の土台になります。今回の鍵は、まさにその検証に使われていました。
Aristaによると、他機種は署名付きアップグレードイメージとセキュアブートを強制しており、影響を受けません。C-260とC-250だけが共通の固定鍵に頼る検証の経路を残していた形です。機種を限定した脆弱性なので、台数を洗い出せば影響範囲は自社で確定できます。
よくある質問
Q.CVSSのv3とv4で値が違うのはなぜですか。
まだ分かっていないこと
- 共通の鍵がどのように入手され得るかは、公表されていません。
- 侵害の痕跡を調べる指標は、提供されていません。
- 回避策がSSLP認証に使う鍵の問題をどこまで抑えるかは、示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Arista NetworksWi-Fi Access Point |
1.0.0 以上(修正版なし)→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Arista C-260 and C-250 access points ship with fleet-wide static cryptographic keys used for firmware image verification and SSLP authentication. An attacker who is able to access these keys would be able to create modified firmware that will pass verification checks. This vulnerability is specific to the C-260 and C-250 models; other access point models enforce digitally signed upgrade images with secure boot and are not affected by this issue.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web arista.com
- web nvd.nist.gov
- web github.com