Ziroom ZHOME A0101にコード注入の脆弱性、修正版なし
Ziroom ZHOME A0101の1.0.1.0に、遠隔から任意のコードを実行されるおそれのある脆弱性が公表され、実証コードも公開されています。ベンダーが応じておらず修正版が見当たらないため、該当機器の有無を調べ、管理画面への接続を絞ってください。
急ぎ度: 早めに
CVSS v3は9.1で実証コードも公開済みですが、悪用には高い権限が必要で、該当機器も限られるため、持っている組織が早めに接続の制限へ動く段階とみています。
関係があるか
ZHOME A0101を社内、寮、社宅、貸与物件などで使っている組織が対象です。日本の企業での普及は限られるとみられますが、海外拠点や輸入機器の中に紛れていないかは確認しておく価値があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ziroom ZHOME A0101 | 1.0.1.0 Build 202004151405。ほかの版が影響を受けるかは、ベンダーの告知とVulDBの記録で確認してください | 修正版は確認されていません |
確かめ方
- 1資産台帳や購入記録でZiroom製の機器とモデル名A0101を探します。
- 2機器の管理画面か筐体のラベルで、ファームウェアの版が1.0.1.0 Build 202004151405かを確かめます。
- 3該当機器の管理画面が、インターネットや信頼できない部署のネットワークから到達できる状態になっていないかを、ネットワーク担当者と確認します。
何が起きたか
Ziroom ZHOME A0101のWeb管理機能に、外部から渡した入力が命令として実行されてしまうコード注入の脆弱性が見つかりました。悪用されると、機器の上で攻撃者が選んだ処理を動かせます。
問題があるのは、ファームウェア内のusr/lib/lua/luci/controller/api/zrUsb.luaにあるloadstringの処理です。loadstringは文字列をLuaのコードとして読み込む関数で、そこに外部由来の値が十分な検査なしに渡ると、入力がそのままコードとして動くと考えられます。分類はCWE-94とCWE-74です。
実証コードが公開されています。
攻撃の流れ
-
1
管理機能へ到達
ネットワーク越しにZHOME A0101のWeb管理機能へ接続できる位置を確保します。
-
2
高い権限で認証
管理者に近い権限で機器にログインします。
-
3
細工した値を送信
zrUsb.luaの処理に、コードとして解釈される値を渡します。
-
4
コードが実行される
機器上で任意の処理が動き、設定や通信内容に手を出せる状態になります。
どう悪用されるか
ネットワーク越しに攻撃でき、複雑な条件や利用者の操作は要りません。ただしCVSSの評価では、必要な権限は高いとされており、管理者に近い権限での認証が前提になります。管理用の認証情報が漏れている、推測されやすいといった環境では、この前提を満たされやすくなります。
成功した場合、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。機器内の情報の閲覧、設定の書き換え、機器の停止に加え、影響範囲が機器の外へ広がる評価（スコープの変更）が付いているため、同じネットワークにつながる別の機器への足がかりにされるおそれもあります。
今すぐやること
-
1
該当機器を洗い出す
ZHOME A0101と版を確認し、設置場所と管理者を一覧にします。台帳に載っていない機器がないかも、現地で確かめます。
-
2
管理画面への接続を絞る
インターネット側への公開をやめ、管理画面へは管理用の端末や専用のネットワークからだけ入れるようにします。ファイアウォールやVLANで制限する方法が現実的です。
-
3
管理用の認証情報を見直す
悪用には高い権限が要るため、初期値や使い回しのパスワードを推測されにくいものに変えます。あわせて、不要な管理アカウントを消します。
-
4
ベンダーとVulDBの告知を確認する
修正版や回避策、影響する版の追加がないかを定期的に確認します。修正版が出ないまま運用を続けるのが難しければ、機器の入れ替えを検討します。
-
5
侵害の跡を調べる
管理画面へ外部から到達できた期間がある機器では、不審なログイン、見覚えのない設定変更、想定外の通信先がないかを見ます。
修正版がないあいだのつなぎ
修正版が出るまでのつなぎとして、管理画面を信頼できる端末だけに限定し、インターネットから直接到達できないようにします。USB関連の機能を使っていなければ、無効にできるかも確認してください。それでも残る危険があるため、機器の入れ替えまでの暫定策と考えてください。
背景
ファイルパスにあるluci/controllerは、OpenWrt系のファームウェアで使われるWeb管理画面LuCIの仕組みです。ZHOME A0101の管理用APIも、この上でLuaのスクリプトとして動いているとみられます。管理画面のAPIが外部の入力をコードとして読み込む作りになっていたのが、今回の問題です。
対象の版名には202004151405とあり、2020年4月のビルドとみられます。入居者向けなどに配られる組み込み機器は、導入後に更新が行き届かず、そのまま長く使われがちです。ベンダーが連絡に応じていない点を踏まえると、今後も修正版が出ない場合を見込み、機器の交換まで含めて計画しておくのが現実的でしょう。
よくある質問
Q.管理者パスワードを強くすれば、この脆弱性は防げますか。
まだ分かっていないこと
- ベンダーが早い段階で連絡を受けながら応じていないため、修正版の提供予定や対応方針は示されていません。
- 1.0.1.0 Build 202004151405以外の版や型番が影響を受けるかは、記録からは分かっていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A flaw has been found in Ziroom ZHOME A0101 1.0.1.0 Build 202004151405. This issue affects the function loadstring of the file usr/lib/lua/luci/controller/api/zrUsb.lua of the component Lua Handler. This manipulation causes code injection. Remote exploitation of the attack is possible. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web github.com
- web nvd.nist.gov
- web github.com