OpenRemoteで権限不備、1.31.0に修正版あり
IoT基盤の OpenRemote 1.2.0 以上 1.31.0 未満に、ログインさえしていれば管理者でなくてもゲートウェイのトンネルを開始・停止・照会できる弱点が見つかりました。エッジゲートウェイを使って拠点や機器とつないでいる組織が影響を受けます。1.31.0 への更新と、一般ユーザーのアカウントの見直しを進めてください。
急ぎ度: 早めに
実際の攻撃での悪用は公表されていませんが、CVSSはv3.1で8.5、v4.0で9.0と高く、成功すると拠点側の機器ネットワークに届く経路を作られるためです。
関係があるか
OpenRemoteを運用し、エッジゲートウェイを通じて拠点や現場の機器ネットワークとつないでいる組織が対象です。管理者以外のアカウントを発行している環境ほど、影響を受ける可能性が高くなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| OpenRemote(openremote) | 1.2.0以上1.31.0未満 | 1.31.0 |
確かめ方
- 1自社で動かしているOpenRemoteの版を、導入記録、デプロイ設定、コンテナイメージのタグなどで確認し、1.2.0以上1.31.0未満に当たらないかを見てください。
- 2エッジゲートウェイとのトンネル機能を使っているかを確認してください。使っていなくても、版が対象範囲ならまず更新の対象です。
- 3管理者ロールを持たない一般ユーザーのアカウントが何件あるか、委託先や共有アカウントが含まれていないかを棚卸ししてください。
- 4ゲートウェイ側の機器ネットワークに、想定外の接続元や接続時刻がなかったかをログで確かめてください。
何が起きたか
OpenRemoteは、センサーや設備などの機器を集めて監視・制御するためのオープンソースのIoT基盤です。今回見つかった弱点は、ゲートウェイとの間に張る「トンネル」の操作に、管理者かどうかの確認が抜けていたというものです。そのため、ログインできるユーザーなら誰でも、トンネルを開く、閉じる、状態を調べるといった操作ができてしまいます。
たとえるなら、社員証を持っていれば誰でも、サーバー室の鍵の貸出簿を書き換えて扉を開けられる状態です。本来は管理者だけが扱うはずの操作が、一般ユーザーにも開かれていました。
技術的には、GatewayServiceResource が提供するゲートウェイトンネル用のエンドポイントで、呼び出し元に管理者ロールがあるかを検査していません。分類はCWE-862（認可の欠如）です。開始の要求を送ると、エッジゲートウェイのネットワークへ向かう持続的な双方向のTCP接続が作られ、停止の要求を送ると、運用担当者が使っているトンネルを切断できます。
CVSS v3.1のベクターでは、影響範囲が脆弱なコンポーネントの外に広がる（S:C）と評価されています。ゲートウェイの先にある機器ネットワークまで影響が及ぶためです。修正版は1.31.0です。
攻撃の流れ
-
1
アカウント入手
管理者ではない通常のユーザーとしてOpenRemoteにログインできる状態になります。
-
2
トンネル操作要求
ゲートウェイトンネルの開始、停止、照会を求める要求を送ります。
-
3
権限確認の欠如
サーバー側が管理者ロールを確認しないまま、要求を受け付けます。
-
4
拠点網への経路
エッジゲートウェイのネットワークへ届くTCP接続が作られる恐れがあります。
-
5
運用の妨害
運用担当者が使っているトンネルが切断され、保守や監視が止まる恐れがあります。
どう悪用されるか
悪用にはログインが必要で、パスワードなどで認証できる有効なアカウントを持っていることが前提です。ただし、管理者権限は要りません。ネットワーク経由で操作でき、被害者側の操作も不要です。CVSS v3.1では攻撃条件の複雑さが「高」とされていますが、v4.0では「低」で、攻撃が成立するための前提条件（AT:P）が別に示されています。具体的にどの条件が必要になるかは、公表されている情報からは分かりません。
悪用された場合、ゲートウェイの先にある拠点や現場の機器ネットワークへ、OpenRemoteの外から接続できる経路を作られる恐れがあります。機密性、完全性、可用性への影響はいずれも高く評価されています。また、運用担当者のトンネルを切断されると、遠隔保守や監視が止まる可能性があります。
実際の攻撃で悪用されたという情報は、現時点では公表されていません。一般ユーザーのアカウントが多い環境、外部の委託先にアカウントを発行している環境、アカウントが共有されている環境では、前提条件を満たされやすくなります。
今すぐやること
-
1
使っている版を確認する
OpenRemoteの稼働環境ごとに版を洗い出し、1.2.0以上1.31.0未満に当たるものを一覧にしてください。複数の環境がある場合は、検証用や予備の環境も含めます。
docker images | grep -i openremote -
2
1.31.0以降へ更新する
修正版は1.31.0です。更新前に設定とデータのバックアップを取り、検証環境で動作を確かめてから本番に適用してください。更新手順はプロジェクトの公式の案内に従います。
-
3
一般ユーザーのアカウントを見直す
更新が済むまでの間、不要なアカウントの削除、共有アカウントの停止、委託先アカウントの確認を行ってください。パスワードが漏れている恐れがあるアカウントは変更します。
-
4
ゲートウェイ周辺のログを確認する
身に覚えのないトンネルの開始や切断、ゲートウェイ側のネットワークへの想定外の接続がないかを確認してください。不審な形跡があれば、拠点側の機器の認証情報の変更も検討します。
-
5
ゲートウェイ側の通信を絞る
トンネルの先から到達できる機器やポートを必要最小限にし、拠点の機器ネットワークを他のネットワークから分けてください。万一の際の被害範囲を小さくできます。
すぐ更新できないとき
ベンダーが公表した個別の回避策は確認できていません。更新までの一時的な備えとして、一般ユーザーのアカウントを必要最小限にする、OpenRemoteへのアクセス元を社内やVPNに限定する、ゲートウェイ先のネットワークの通信を絞る、といった一般的な対策で影響を減らせます。これらは根本的な解決ではないため、1.31.0への更新は進めてください。
背景
OpenRemoteのようなIoT基盤は、現場の機器と社内システムの間をつなぐ役割を持ちます。エッジゲートウェイは、拠点側のネットワークと中央の管理サーバーを結ぶ中継点です。そのため、管理サーバーの権限管理に抜けがあると、外部の入口がないはずの現場ネットワークにまで影響が及ぶことがあります。
今回のCWE-862（認可の欠如）は、ログインの確認はしているのに、その操作をしてよい人かどうかの確認が抜けているという種類の弱点です。アクセス制御の不備として、WebアプリケーションやAPIで以前から繰り返し見つかってきました。画面上では管理者の操作として隠れていても、サーバー側で検査していなければ、APIを直接呼ばれると守りが効かないことがあります。
よくある質問
Q.管理者以外にもアカウントを発行していない場合は心配ありませんか。
Q.すでに攻撃で悪用されていますか。
Q.CVSSの点数がv3.1とv4.0で違うのはなぜですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかは公表されていません。
- 1.31.0より前に更新できない場合の、ベンダーによる公式の回避策は公表されていません。
- CVSS v4.0で示された攻撃の前提条件（AT:P）が具体的に何かは、公表された内容からは分かりません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| openremote | openremote |
1.2.0 以上 1.31.0 未満 |
1.31.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OpenRemote 1.2.0 before 1.31.0 contains a missing authorization vulnerability in GatewayServiceResource that allows any authenticated user to start, stop and query gateway tunnels without an administrative role. Attackers can send POST or DELETE requests to the gateway tunnel endpoint to open persistent bidirectional TCP circuits into an edge gateway's network or tear down operator tunnels.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com