Wavlink WL-WN530BE1-Aに認証不要でroot実行の欠陥、修正版は未公表
Wavlink WL-WN530BE1-Aのファームウェア(M30BE1_V251117まで)に、ネットワーク越しに認証なしで管理者権限(root)のコマンドを実行されるおそれのある欠陥が見つかりました。実際の攻撃で悪用されたという情報は、現時点では確認できていません。修正版も公表されていないため、管理画面を外部に公開していないかを確認し、アクセスできる範囲を絞る対応を優先してください。
急ぎ度: 早めに
CVSS 9.8の致命的な欠陥で認証も不要ですが、KEVへの掲載は確認できず、悪用の見込みを示すEPSSの値も示されていないため、至急とまでは言えず、早めの対処が妥当です。
関係があるか
Wavlink WL-WN530BE1-Aを拠点、店舗、小規模オフィスなどで使っている組織が対象です。特に、機器の管理画面にインターネット側や信頼できない端末からアクセスできる環境ほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Wavlink WL-WN530BE1-A ファームウェア | M30BE1_V251117までのすべての版 | 公表されていません（ベンダーの告知を確認してください） |
確かめ方
- 1社内の資産台帳やネットワーク管理ツールで、Wavlink製の機器、特に型番WL-WN530BE1-Aがないか探します。
- 2該当機器の管理画面にログインし、ファームウェアの版がM30BE1_V251117以前かどうかを確認します。
- 3機器の管理画面（Webインターフェース）がインターネット側や、利用者用ネットワークから到達できる状態になっていないかを、ルーターの設定やファイアウォールの規則で確認します。
- 4購入元や設置業者に、同型機が自社拠点に導入されていないか問い合わせます。
何が起きたか
Wavlink WL-WN530BE1-Aは、家庭や小規模な事業所で使われる無線LAN関連の機器です。このファームウェアに、外部から送られた入力が十分に検査されないまま機器内部のコマンドとして実行されてしまう欠陥（OSコマンドインジェクション）が見つかりました。しかも、ログインしていない第三者が、ネットワーク越しに機器の最高権限であるrootでコマンドを実行できる可能性があります。
問題があるのは、機器内部の ioos というプログラムの sub_23B54 関数です。/protocol.csp?opt=ovpn_file へのリクエストで type=del が指定されたとき、file_id パラメーターの値が検査されないまま popen() に渡されます。
さらに、このリクエストには認証を回避できる仕組みの問題も重なっています。リクエストのヘッダーに、機器自身からの通信であるかのような IP-FROM: 127.0.0.1 という値を付けると、ログインの確認が通ってしまうとされています。この2つが組み合わさることで、認証なしでの任意のコマンド実行につながります。
この欠陥はCWE-78（OSコマンドインジェクション）に分類され、CVSS v3.1の基本値は9.8(Critical)です。NVDやVulnCheckなどが情報を公開しています。
攻撃の流れ
-
1
機器に到達
攻撃者が、対象機器の管理用のWebインターフェースにネットワーク経由で接続できる状態にあります。
-
2
認証を回避
機器自身からの通信を装ったヘッダーを付けることで、ログインの確認をすり抜けます。
-
3
不正な値を送信
削除処理のリクエストに、検査されていない値を含めて送ります。
-
4
コマンド実行
その値が機器内部でコマンドとして実行され、root権限で任意の処理が行われます。
どう悪用されるか
悪用に必要な条件は多くありません。攻撃者は対象機器の管理用Webインターフェースにネットワーク経由で到達できればよく、ログインは不要で、利用者の操作も必要ありません。CVSSの評価でも、攻撃の難しさは低いとされています。
悪用に成功すると、機器のroot権限で任意のコマンドが実行されます。設定の書き換えや通信の盗み見、機器の乗っ取り、さらにその機器を足がかりにした社内ネットワークへの侵入などが懸念されます。機密性、完全性、可用性のいずれにも大きな影響が出うると評価されています。
実際の攻撃で悪用された事例は、現時点で明らかになっていません。ただし、欠陥の内容が公開されている以上、今後悪用が始まる可能性は否定できません。
今すぐやること
-
1
対象機器の洗い出し
WL-WN530BE1-Aを使っている拠点や機器を洗い出し、ファームウェアの版を確認します。
-
2
管理画面の公開を止める
インターネット側から管理画面へ届かないよう、ルーターやファイアウォールで遮断します。リモート管理機能が有効なら無効にします。
-
3
アクセス元を限定する
管理画面へ到達できる端末を、管理者用の端末や専用のネットワークに限ります。ゲスト用や来客用のネットワークからは到達できないようにします。
-
4
ベンダーの告知を確認
修正版ファームウェアが出ていないか、Wavlinkの公式サイトやサポート窓口で確認します。公開され次第、検証したうえで更新します。
-
5
不審な兆候を点検
機器の設定が意図せず変わっていないか、見覚えのない設定や通信先がないかを確認します。不審な点があれば、設定の初期化と再構築も検討します。
すぐ更新できないとき
修正版が公表されていないため、当面の対策はアクセス経路を絞ることです。管理画面をインターネットに公開せず、信頼できる管理用の端末からだけ接続できるように制限してください。利用していない機器は電源を切るか、ネットワークから外すのも有効です。業務上の影響が小さければ、別メーカーの機器への置き換えも選択肢になります。
背景
無線LAN機器やルーターは、社内外の通信が必ず通る入口にあたります。そのため、ここを乗っ取られると、通信の盗み見や改ざん、社内への侵入の足がかりに使われます。また、こうした機器はパソコンのように自動更新されないことが多く、導入後に放置されやすい点も弱点です。
機器の管理画面から渡された値が、検査されないままOSのコマンドとして実行される欠陥は、ネットワーク機器で繰り返し報告されてきた典型的なタイプです。今回のように認証の確認にも不備があると、ログインなしで攻撃が成立するため、外部に管理画面を公開している機器は特に狙われやすくなります。
よくある質問
Q.すでに攻撃は始まっていますか。
Q.修正版のファームウェアはありますか。
Q.社内のネットワークの中だけで使っていれば安全ですか。
まだ分かっていないこと
- 修正版ファームウェアの提供時期や、ベンダーによる正式な告知の有無は公表されていません。
- 実際の攻撃で悪用されているかどうかは、現時点で明らかになっていません。
- M30BE1_V251117より前の個々の版が影響を受けるかどうかの詳細は、公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Wavlink WL-WN530BE1-A firmware through M30BE1_V251117 contains an OS command injection vulnerability in the sub_23B54 function of the ioos binary, which passes the unsanitized file_id parameter of /protocol.csp?opt=ovpn_file requests with type=del to popen(). A remote unauthenticated attacker can send a forged IP-FROM: 127.0.0.1 header to bypass login and execute arbitrary commands as root.
出典: GitHub Security Advisories (Global) NVD GitHub Advisory
参照URL
- web nvd.nist.gov
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com