TOTOLINK A950RGにコマンドインジェクションの脆弱性、攻撃コード公開
ルーターTOTOLINK A950RGの管理機能に、OSのコマンドを実行されてしまう脆弱性が見つかりました。攻撃コードがすでに公開されており、重大度はCVSS v3で9.9です。拠点や在宅で同機種を使っている組織は、機器を洗い出して管理画面の公開範囲を絞り、ベンダーの告知を確認してください。
急ぎ度: 早めに
CVSS v3は9.9で攻撃コードも公開されており、修正版の有無が確認できていないため、設定による保護を先に進めたい脆弱性です。
関係があるか
TOTOLINK A950RGを拠点・店舗・在宅勤務先などで使っている組織が対象です。管理画面がインターネット側から届く設定だと、リスクはとくに高くなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| TOTOLINK A950RG | 4.1.2cu.5268_B20221104 | 未確認。TOTOLINKの告知で確認してください |
確かめ方
- 1社内の資産台帳や購買履歴で、A950RGを導入した拠点と台数を洗い出します。シャドーITになりやすい小規模拠点や在宅勤務先も含めます。
- 2ルーターの管理画面にログインし、ステータスやシステム情報の画面でファームウェアのバージョンが4.1.2cu.5268_B20221104かどうかを確認します。
- 3管理画面がWAN側（インターネット側）から開けるかどうかを、設定画面のリモート管理の項目で確認します。
何が起きたか
TOTOLINK A950RGのファームウェアに、管理機能を通じて機器のOS上で任意のコマンドを実行されてしまう脆弱性が見つかりました。ルーターが乗っ取られると、社内外の通信が盗み見られたり、設定を書き換えられたりするおそれがあります。
ファームウェア内のfirewall.soというファイルにあるapmib_setという関数が、受け取った値を十分に検査しないまま扱っていることが原因です。分類はコマンドインジェクション（CWE-77・CWE-74）です。
攻撃コードがすでに公開されています。
CVSS v3は9.9、CVSS v4は9.4で、どちらも最上位に近い評価です。ただし、実際の攻撃で悪用されたという情報は、今回は出ていません。
攻撃の流れ
-
1
管理機能に到達
ネットワーク経由でルーターの管理機能に接続します。
-
2
低権限でログイン
一般的な権限のアカウントで認証を通ります。
-
3
不正な値を設定
設定項目に細工した値を渡し、検査の不備を突きます。
-
4
OSコマンド実行
ルーター上で、攻撃者が指定したコマンドが動きます。
-
5
ルーター掌握
設定変更や通信の盗み見、内部ネットワークへの足がかりに使われます。
どう悪用されるか
ネットワーク経由で攻撃でき、利用者の操作は要りません。攻撃の難易度は低いと評価されています。ただしCVSSのベクターには、低い権限での認証が必要とあります。そのため、管理画面にログインできる状態が前提になるとみられます。
管理画面がインターネット側に公開されていたり、初期パスワードや使い回しのパスワードのままだったりすると、この前提は満たされやすくなります。逆にLAN内からしか管理画面に届かない構成なら、攻撃者はまず社内ネットワークに入る必要があります。
成功すると、ルーターのOS上で任意のコマンドが実行されます。機密性・完全性・可用性のすべてに高い影響が出ると評価されており、影響範囲もルーター単体を超えて、配下のネットワークに及ぶとされています。
今すぐやること
-
1
対象機器を洗い出す
A950RGの設置場所と台数、ファームウェアのバージョンを一覧にします。対象の版が見つかった機器から、次の手順に進みます。
-
2
TOTOLINKの告知で修正版を確認する
TOTOLINKの公式サイトで、A950RGの新しいファームウェアや注意喚起が出ていないかを確認します。修正版が出ていれば、設定を控えたうえで更新します。
-
3
管理アカウントを見直す
初期パスワードや使い回しのパスワードを推測されにくいものに変え、不要なアカウントを削除します。あわせて、見覚えのない設定変更やDNSの向き先がないかを点検します。
-
4
修正版が出ないときは入れ替えを計画する
修正版の提供が見込めない場合は、サポートが続いているルーターへの入れ替えを予算に載せます。入れ替えまでの間は、下の回避策で守ります。
すぐ更新できないとき
ルーターの管理画面にWAN側から届かないよう、リモート管理の機能を無効にします。LAN側でも、管理画面に入れる端末を管理用のものに限り、来客用Wi-Fiや一般の端末とはネットワークを分けます。上流のファイアウォールで、ルーターの管理ポートへのインターネットからの通信を遮断する方法もあります。
背景
A950RGのような小型のルーターは、拠点や店舗、在宅勤務先でインターネットとの境目を担い、社内システムやVPNへの出入口になることが多い機器です。自動更新の仕組みがなく、導入後に誰も触らないまま放置されやすいため、脆弱性が見つかっても気づかれにくい面があります。
今回のfirewall.soは名前からファイアウォール関連の設定を扱う部分とみられ、apmib_setは設定値を書き込む処理とみられます。管理画面から入力した値がそのままOSのコマンドの一部として扱われると、コマンドインジェクションが起こります。ルーターの設定画面を入り口にこの種の脆弱性が見つかるのは、組み込み機器では珍しくありません。
よくある質問
Q.管理パスワードを変えれば、この脆弱性は問題なくなりますか。
まだ分かっていないこと
- 修正版が出ているか、出る予定があるかは分かっていません。TOTOLINKの公式サイトの告知で確認してください。
- ほかの版やほかのTOTOLINK製品が影響を受けるかは、示されていません。
- 実際の攻撃で悪用されたかどうかは、まだ分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| TOTOLINK | A950RG | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was determined in TOTOLINK A950RG 4.1.2cu.5268_B20221104. Affected is the function apmib_set of the file firewall.so. This manipulation causes command injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web gist.github.com
- web totolink.net
- web nvd.nist.gov
- web totolink.net
- web github.com