TOTOLINK A950RGにコマンド注入の脆弱性、攻撃コード公開
TOTOLINK A950RGのファームウェアに、ルーター上で任意のコマンドを実行されてしまう脆弱性が見つかり、攻撃コードも公開されています。該当の版を使う拠点や店舗では、機器の洗い出しと管理画面への到達経路の確認が先決です。修正版は公表されておらず、ベンダーの告知を待ちながら回避策で守ることになります。
急ぎ度: 早めに
CVSS v3は9.9、v4は9.4で、攻撃コードが公開されている一方、修正版は公表されていません。
関係があるか
拠点・店舗・小規模オフィスなどでTOTOLINK A950RGをインターネット出口に使っている組織が対象です。管理画面を外部から開けられる設定にしている機器は、とくに優先して見る必要があります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| TOTOLINK A950RG | 4.1.2cu.5268_B20221104 | 未公表（ベンダーの告知で確認） |
確かめ方
- 1管理画面にログインし、ファームウェアの版が4.1.2cu.5268_B20221104かどうかを見る。
- 2WAN側（インターネット側）から管理画面に届く設定になっていないかを、ルーターの設定画面で確認する。
- 3Cloud Upgrade（クラウドからのファームウェア更新）の機能を使っているかを、運用担当者に確認する。
- 4拠点ごとに導入した機器の型番が台帳と一致しているかを、資産管理の一覧と突き合わせる。
何が起きたか
TOTOLINK A950RGのファームウェアに、ルーター上で任意のOSコマンドを実行されてしまう脆弱性が見つかりました。
問題があるのは、Cloud Upgradeコンポーネントに含まれるlib/cste_modules/upgrade.soのsetCloudUpgradeFW関数です。引数FileNameの値がコマンドの一部として扱われる前に十分に処理されず、コマンドインジェクション（CWE-77、CWE-74）になります。
攻撃コードは、すでに公開されています。
修正版が出ていない点が、対応を難しくしています。筆者は、管理画面を外部に公開していない機器でも、計画的に対応を決めておく段階にあると思っています。
攻撃の流れ
-
1
機器へ到達
ネットワーク越しにルーターの管理機能へ接続する。
-
2
ログイン
低い権限のアカウントで認証を通す。
-
3
更新機能に入力
Cloud Upgradeの機能に、不正な値を含むファイル名を渡す。
-
4
コマンド実行
ルーター上でOSコマンドが実行される。
-
5
機器を掌握
設定の改ざんや、内部ネットワークへの足がかりに使われる。
どう悪用されるか
ネットワーク経由で攻撃でき、利用者の操作は要りません。攻撃の複雑さは低く、必要なのは低い権限のアカウントです。つまり、管理画面に届く経路と、何らかのログイン情報があれば成立します。
CVSSの評価では、影響がルーター自身の範囲を超えるとされています。コマンドを実行されると、機密性・完全性・可用性のいずれも大きく損なわれます。具体的には、設定の書き換え、通信内容の取得、機器の停止、内部ネットワークへの踏み台化が想定されます。
今すぐやること
-
1
対象機器を洗い出す
A950RGの設置場所と版を一覧にします。拠点や店舗に置かれた機器は、台帳から漏れやすいので現地担当者にも確認します。
-
2
ログイン情報を見直す
管理画面の初期パスワードや使い回しのパスワードを変更し、不要なアカウントは削除します。この脆弱性にはログインが要るため、認証の強さがそのまま防御になります。
-
3
ベンダーの告知を定期的に見る
TOTOLINKの公式サイトとVulDBのページを見て、修正版の公開を確認します。修正版が出たら、検証用の1台で動作を確かめてから順に更新します。
-
4
不審な変更がないか調べる
DNSの設定、管理者アカウント、ポート転送の設定に、身に覚えのない変更がないかを見ます。
-
5
代替機への入れ替えを検討する
修正版が長期間出ない場合に備え、インターネット側に置く機器を別の製品へ替える案を用意しておきます。
すぐ更新できないとき
管理画面にインターネット側から届かないよう、WAN側からの管理アクセスを無効にします。LAN側でも、管理画面に入れる端末を管理用のものだけに絞ります。Cloud Upgradeの機能が設定で止められるかは、ベンダーの案内を確認してください。止められる場合は、修正版が出るまで使わない運用が安全です。
背景
A950RGは、家庭や小規模拠点向けの無線LANルーターです。拠点のインターネット出口として置かれることが多く、通信が必ず通る位置にあります。ここで任意のコマンドを実行されると、設定の書き換えや通信の経路の乗っ取りにつながりかねません。
今回の問題は、ファームウェアの更新を担う機能で、ファイル名にあたる値を扱う箇所にあります。外部から受け取った値をOSコマンドに組み込む実装は、ルーターの管理機能で繰り返し報告されてきた型のコマンドインジェクションです。バージョン名のB20221104は2022年11月のビルドを示し、古いビルドが現場に残り続けやすい機器でもあります。
よくある質問
Q.複数拠点にA950RGがある場合、どこから手を付けるべきですか。
まだ分かっていないこと
- 修正版が出るかどうか、出る場合の時期は分かっていません。TOTOLINKの公式サイトとVulDBの情報で確認してください。
- 4.1.2cu.5268_B20221104以外の版や、ほかのTOTOLINK製品が影響を受けるかは分かっていません。
- 実際の攻撃で悪用されたという報告は、確認できていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| TOTOLINK | A950RG | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability has been found in TOTOLINK A950RG 4.1.2cu.5268_B20221104. This affects the function setCloudUpgradeFW of the file lib/cste_modules/upgrade.so of the component Cloud Upgrade. The manipulation of the argument FileName leads to command injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web totolink.net
- web github.com