Pugongying X5 Proの脆弱性、攻撃コードが公開済み
Oray製ルーターPugongying X5 Proの7.6.1以前に、設定の復元機能から機器を操作されるおそれのある脆弱性が見つかり、攻撃コードも公開されています。管理画面が外部に出ていないかを確認し、修正版の有無はベンダーの告知で確かめてください。
急ぎ度: 早めに
CVSS v3は9.1と高く攻撃コードも公開されていますが、悪用には管理者権限相当の認証が要るとされ、KEVには載っておらず、修正版も確認できていないため、まず公開範囲の見直しから始める段階と考えます。
関係があるか
Oray製ルーターのPugongying X5 Proを拠点やテレワーク環境で使っている組織が対象です。管理画面をインターネット側に開けている場合は、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Oray Pugongying X5 Pro | 7.6.1以前 | 修正版の情報は確認できていません。ベンダーの告知で確認してください |
確かめ方
- 1社内の機器台帳や現地の設置状況から、Pugongying X5 Proを使っている拠点と台数を洗い出します。
- 2各機器の管理画面にログインし、ファームウェアの版が7.6.1以前かどうかを確認します。
- 3管理画面がインターネット側から到達できる状態かを、ルーターの設定とFWのルールで確認します。
何が起きたか
Oray製ルーターPugongying X5 Proの7.6.1以前に、設定ファイルの復元機能を通じて、本来は触れられないはずの場所のファイルを指定できてしまう脆弱性があります。
問題があるのは、/etc/openwrt_releaseに関わる関数config_restore_exです。ファイル名を受け取る引数filenameの扱いが不十分で、相対パスによるディレクトリトラバーサル（CWE-22）が起きます。
公開された調査資料の題には、この問題がroot権限でのコード実行につながると書かれています。
攻撃手法はすでに公開されています。
攻撃の流れ
-
1
管理画面に到達
ネットワーク越しにルーターの管理機能へ接続できる状態が前提になります。
-
2
管理者として認証
高い権限を持つアカウントでログインできることが必要です。
-
3
復元機能に細工
設定の復元で、ファイル名に想定外の指定を渡します。
-
4
範囲外のファイル操作
本来の保存先を越えた場所のファイルを扱えてしまいます。
-
5
機器の制御に波及
ルーター自体の制御や設定の改ざんにつながるおそれがあります。
どう悪用されるか
ネットワーク越しに実行でき、利用者の操作は要りません。一方、CVSSのベクターでは高い権限が必要とされており、管理者権限相当の認証を通っていることが前提です。攻撃の難易度自体は低いと評価されています。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出るとされ、影響範囲はルーター本体の外にも及ぶと評価されています。具体的には、機器の設定の読み出しや書き換え、機器の停止、機器上での任意のコード実行などが想定されます。
今すぐやること
-
1
対象機器と版を洗い出す
Pugongying X5 Proを使っている拠点を一覧にし、ファームウェアの版を管理画面で確認します。7.6.1以前なら対象です。
-
2
管理画面の公開範囲を絞る
インターネット側から管理画面へ届かないようにします。管理は社内の固定のネットワークか、VPN経由に限ります。
-
3
ベンダーの告知で修正版を確認する
OrayのサイトやサポートでX5 Proのファームウェア更新情報を確認します。修正版が出ていれば、検証環境で動作を確かめてから本番に当てます。
-
4
管理者アカウントを見直す
悪用には高い権限が要るため、初期パスワードや使い回しのパスワードを変更し、不要な管理者アカウントを削除します。
-
5
設定と動作に不審な点がないか調べる
公開済みの手法がある以上、すでに外部から管理画面に届いていた機器は、設定の変更や見覚えのない設定の復元操作がないか、ログと設定を確認します。
修正版がないあいだのつなぎ
修正版を当てられない間は、管理画面を外部に公開せず、接続元を管理用の端末だけに限ります。設定の復元機能は、信頼できる管理者が自分で作ったバックアップだけに使い、外部から受け取ったファイルは使いません。修正版が出ず、ベンダーの対応も見込めない場合は、機器の入れ替えも検討します。
背景
Pugongying X5 Proはルーターで、設定の保存と復元の機能を備えています。復元機能は機器の交換や初期化のあとに設定を戻す場面で使われ、管理者が指定したファイル名をもとに機器内のファイルを読み書きします。ファイル名の検証が甘いと、想定した保存先の外に出られてしまうため、この種の機能はパス検証が欠かせません。
今回の記載にある /etc/openwrt_releaseというパスから、OpenWrtをベースにしたファームウェアと推測されます。ルーターは社内ネットワークの出入口に置かれ、ここを制御されると通信の中継や設定にも影響が及びます。
よくある質問
Q.管理者権限が必要なら、実際の危険は小さいのではありませんか。
まだ分かっていないこと
- ベンダーは脆弱性の報告に応答しておらず、修正版の提供予定や時期は分かっていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A weakness has been identified in Oray Pugongying X5 Pro up to 7.6.1. Affected by this vulnerability is the function config_restore_ex of the file /etc/openwrt_release. This manipulation of the argument filename causes relative path traversal. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web app.notion.com
- web nvd.nist.gov
- web github.com