Pugongying X5 Proに脆弱性、悪用コード公開済み
Oray社のPugongying X5 Pro 7.6.1に、VPN接続のL2TP認証で入力値の処理を誤る脆弱性が見つかりました。攻撃に使える手法はすでに公開されており、ベンダーからの対応は確認できていません。この機器をVPN接続やルーターに使っている組織は、台数と版を洗い出し、L2TPの公開範囲を絞ってください。
急ぎ度: 早めに
CVSS v3は9.1、v4は9.4と高く、攻撃コードが公開済みで修正版の案内もないため、回避策を早めに入れる必要があります。
関係があるか
Pugongying X5 Proを拠点間接続やリモートアクセスのVPNに使っている企業や、L2TPの待ち受けをインターネット側に開けている環境が対象です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Oray Pugongying X5 Pro | 7.6.1 | 現時点で案内なし |
確かめ方
- 1管理画面のシステム情報などで、機器の型番とファームウェアの版が7.6.1かどうかを確認する。
- 2L2TP（VPNサーバー）機能が有効かどうかを設定画面で確認する。使っていなければ、この脆弱性の入口は開いていない。
- 3L2TP用の通信がインターネット側から届く状態かどうかを、ファイアウォールやルーターの公開設定で確認する。
- 4社内のどこに同じ機器があるかを資産台帳で洗い出す。支社や在宅勤務者向けに配った機器も含める。
何が起きたか
Pugongying X5 Pro 7.6.1のL2TP認証に、入力された文字列の扱いを誤る脆弱性があります。認証時のユーザー名に含まれる改行を機器が適切に無害化しないため、想定外の内容が内部の処理に紛れ込み、機器の動作に影響が出るおそれがあります。
攻撃に使える手法の詳細は、すでに公開されています。
脆弱性の種類はCRLFインジェクションで、CWEではCWE-93とCWE-74に分類されています。問題が起きる箇所は、認証で渡されるUsernameという引数です。ベンダーには公表前に連絡が入っていましたが、応答はなかったと報告されています。
攻撃の流れ
-
1
L2TP認証に到達
ネットワーク経由で、機器のL2TP認証の入口にアクセスします。
-
2
Usernameに細工
ユーザー名の欄に、改行を含む想定外の値を送ります。
-
3
改行が解釈される
機器が改行を無害化せず、後続の処理が内容を誤って解釈します。
-
4
機器の動作に影響
設定の改ざんや機器の制御に影響が及ぶおそれがあります。
どう悪用されるか
ネットワーク越しに攻撃でき、利用者の操作は要りません。一方で、CVSSでは高い権限が前提とされています。管理者に近い権限を持つ認証情報がなければ成立しにくい評価です。
成立した場合、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。影響の範囲は機器単体にとどまらず、機器を経由してつながる先にも及ぶ想定です。
今すぐやること
-
1
対象機器と版を洗い出す
Pugongying X5 Proの台数と設置場所、ファームウェアの版を一覧にします。7.6.1の機器を最優先にします。
-
2
L2TP機能の要否を決める
L2TPを使っていない機器は機能を無効にします。使っている機器は、ほかのVPN方式に移せるかも検討します。
-
3
管理権限を見直す
管理者のパスワードを強いものに変更し、使っていない管理者アカウントを削除します。管理画面は社内ネットワークからだけ開けるようにします。
-
4
認証ログを確認する
L2TPの認証ログに、ユーザー名欄へ改行や制御文字が入った試行がないかを調べます。不審な設定変更がないかも、現在の設定と過去のバックアップを比べて確認します。
-
5
修正版の提供を追う
Orayの告知とVulDBの該当ページを定期的に見ます。修正版が出たら、検証環境で動作を確認してから更新します。
すぐ更新できないとき
修正版が出ていないため、L2TPへの到達範囲を狭めることが当面の対策です。
- L2TPを使わない機器は、機能そのものを無効にする。
- 使う場合は、接続元のIPアドレスを拠点や取引先の固定IPに限定し、インターネット全体からは受け付けない。
- 管理画面と管理者用の認証情報を、社内ネットワークの外から使えない状態にする。
- ユーザー名欄に不自然な文字列が入った認証の失敗を、ログ監視で検知できるようにする。
- 長期的に修正版が提供されない場合は、機器の置き換えを検討する。
背景
Pugongying X5 Proは、Oray社の製品です。公開されている検証記事の題に「Router」とあることから、ルーター機器として使われる製品とみられます。社内では、拠点間のVPN接続や、在宅勤務者の接続口を受け持つ位置にあります。L2TPはVPNトンネルを張るための方式です。機器が最初に受け取るのが接続者のユーザー名なので、認証前の段階から外部の入力にさらされる箇所です。
CRLFインジェクションは、改行を表す文字を入力に混ぜて、受け取る側の処理に別の指示や行を差し込む種類の脆弱性です。ウェブでは、HTTPヘッダーに余計な行を挿入する形やログを偽装する形でよく知られています。今回は、その入力がVPN機器の認証処理に渡る点が特徴です。
よくある質問
Q.管理者は信頼できるので、高い権限が必要なら問題にならないのではありませんか。
Q.ベンダーが応答しない場合、情報はどこで追えばよいですか。
まだ分かっていないこと
- 7.6.1以外の版が影響を受けるかどうかと、修正版の提供予定は分かっていません。ベンダーは公表前の連絡に応答していません。最新の状況はOrayの告知とVulDBで確認してください。
- 実際の攻撃で悪用されているかどうかは分かっていません。
- 成立したときに具体的にどこまで可能になるかは、脆弱性の説明からは分かりません。公開された検証記事の題にはroot権限でのコード実行とありますが、ベンダーによる確認は取れていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Oray | Pugongying X5 Pro | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A flaw has been found in Oray Pugongying X5 Pro 7.6.1. Affected by this vulnerability is an unknown functionality of the component L2TP Authentication. This manipulation of the argument Username causes crlf injection. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com