本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 10.0 急ぎ度: 至急

Qihoo 360の6機種に脆弱性、攻撃コード公開・修正版未確認

Qihoo 360のD621-2など6機種で、ファームウェアの署名検証に不備があり、ネットワーク越しに認証なしで悪用されるおそれがあります。該当機種を洗い出し、外部から到達できないようにしたうえで、ベンダーの告知を確認してください。

CVE-2026-121606 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 2 件

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 至急

CVSS v3・v4ともに10.0で、攻撃コードが公開されており、修正版の案内が見当たらないためです。

関係があるか

Qihoo 360のD621-2、D603-2、D600-2、D619、D606-6、D706のいずれかをファームウェア6.4.9以前で使っている組織が対象です。インターネットや広い社内網から機器に到達できる環境ほど、リスクは高くなります。

製品影響を受ける版修正版
Qihoo 360 D621-2 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください
Qihoo 360 D603-2 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください
Qihoo 360 D600-2 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください
Qihoo 360 D619 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください
Qihoo 360 D606-6 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください
Qihoo 360 D706 6.4.9まで 修正版の案内は見当たりません。ベンダーの告知を確認してください

確かめ方

  1. 1資産台帳や機器のラベルで、上の6つの型番が社内や拠点、取引先に設置した機器にないかを探します。
  2. 2該当する型番があれば、機器の管理画面などでファームウェアの版を調べます。6.4.9以前なら影響を受けるものとして扱い、6.4.9そのものも含めて考えます。
  3. 3境界のファイアウォールやルーターの設定を見て、その機器にインターネットから到達できる状態になっていないかを確認します。

何が起きたか

Qihoo 360の一部機種で、ファームウェアの署名を確認する処理に不備が見つかりました。署名が正しく検証されないため、本来は拒否されるはずの入力が通ってしまうおそれがあります。

問題があるのは、ファームウェアの署名検証を担うコンポーネントにある、fs2/bin/iscmのverify_sign関数です。引数signの扱いに起因して、暗号署名の検証が不適切になるとされています。分類はCWE-347とCWE-345です。

報告者はベンダーに早い段階で連絡しましたが、ベンダーからの応答はなかったと記録されています。

攻撃コードが公開されており、悪用される可能性があります。

攻撃の流れ

  1. 1

    機器を探す

    ネットワーク上から到達できる該当機種を見つけます。

  2. 2

    署名検証を回避

    verify_signの不備を突き、署名の確認をすり抜けます。

  3. 3

    不正な内容を受理

    本来は拒否されるはずのファームウェア関連の入力が受け入れられるとみられます。

  4. 4

    機器を掌握

    機器の機密性・完全性・可用性が損なわれ、接続先にも影響が及ぶおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

CVSSのベクターによると、攻撃はネットワーク経由で行われ、認証は不要です。利用者の操作も要らず、攻撃の複雑さは低いと評価されています。機器に到達できる位置にいれば、ログイン情報を持たない第三者でも条件を満たし得ます。

被害の面では、機密性・完全性・可用性のすべてが高い影響と評価されています。影響範囲も機器の外へ広がり得る（スコープが変わる）とされ、これがスコア10.0の理由です。署名検証は、正規のファームウェアだけを受け入れるための関門です。そこが崩れると、機器の内容が改ざんされたり、機器が踏み台にされたりするおそれがあります。具体的な被害の例は公表されていません。

今すぐやること

  1. 1

    該当機種と版を洗い出す

    6つの型番とファームウェアの版を、拠点や取引先に置いた機器まで含めて確認します。6.4.9以前は影響を受けるものとして扱います。

  2. 2

    外部からの到達を断つ

    修正版を待たずに、インターネット側から該当機器へ届く通信をファイアウォールなどで止めます。社内でも、管理用のネットワークなど必要な範囲に限ります。

  3. 3

    ベンダーの告知を確認する

    Qihoo 360の公式の告知やサポート窓口で、修正版・回避策・サポートの状況を確認します。VulDBの記録では、ベンダーは報告者の連絡に応じていません。

  4. 4

    侵害の跡を調べる

    攻撃コードがすでに公開されているため、設定や動作に身に覚えのない変化がないかを見ます。機器からの不審な通信が出ていないかも、ファイアウォールやプロキシーのログで調べます。

  5. 5

    入れ替えも視野に入れる

    ベンダーから修正版が出る見込みが立たない場合は、代替機への入れ替え時期を決めておきます。

修正版がないあいだのつなぎ

修正版が出るまでのつなぎとして、該当機器を信頼できるネットワークの内側に限定し、インターネットからの通信は遮断します。管理や運用に必要な接続元だけを許可リストで絞ると、攻撃に使える経路を減らせます。ただし、これは根本的な対策ではありません。機器を外部から切り離せない場合は、入れ替えを検討してください。

背景

ファームウェアの署名検証は、機器が正規のベンダーが作ったソフトウェアだけを受け入れるための最後の関門です。ここに不備があると、ログイン情報の管理やネットワークの分割といった、ほかの守りが機器の中身の改ざんまで防ぎきれなくなります。

今回の記録で目を引くのは、報告者がベンダーに早く連絡したにもかかわらず応答がなかったことです。そのうえで、攻撃コードが先に公開されています。ベンダーの対応を待つだけでは間に合わない可能性があるため、利用者側で到達経路を絞る対策が現実的です。

よくある質問

Q.この情報はどこまで信頼できますか。
A.CVEの記録はVulDBによる登録で、ベンダー自身の告知ではありません。影響する版や修正の有無は、変わる可能性があります。Qihoo 360の公式告知を定期的に確認してください。
Q.型番に似た別の機種は影響を受けますか。
A.記録に挙がっているのは、D621-2・D603-2・D600-2・D619・D606-6・D706の6つです。似た型番の機種が影響を受けるかは、ベンダーの告知を確認してください。判断がつくまでは、同様に到達経路を絞っておくと安全です。

まだ分かっていないこと

  • 攻撃が届く具体的な経路（どのサービスやポートを通るか）は、CVEの記録に書かれていません。
  • 対象の機器がどんな用途の製品なのかも、記録からは分かりません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability has been found in Qihoo 360 D621-2, D603-2, D600-2, D619, D606-6 and D706 up to 6.4.9. Affected by this issue is the function verify_sign of the file fs2/bin/iscm of the component Firmware Signature Verification. Such manipulation of the argument sign leads to improper verification of cryptographic signature. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく