Comfast CF-WR632AXに脆弱性、PoC公開で修正版は未確認
Comfast CF-WR632AXの2.6.0.1に、認証なしでネットワーク越しに悪用できる脆弱性が公表され、エクスプロイトも公開されています。同機を使う拠点や店舗は、機器の洗い出しと管理機能の公開範囲の確認を先に進めてください。
急ぎ度: 至急
CVSS v3・v4ともに10で、認証も利用者の操作も要らず、エクスプロイトが公開されている一方、修正版は確認できていないためです。
関係があるか
小規模オフィス、店舗、支社、テレワーク環境でComfast CF-WR632AXを使っている組織が対象です。管理機能にインターネット側や共有ネットワークから届く構成ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Comfast CF-WR632AX | 2.6.0.1 | 修正版は確認できていません。ベンダーは開示前の連絡に応答しなかったと報告されています。 |
確かめ方
- 1本体のラベルや管理画面で、機種名がCF-WR632AXかどうかを確認します。
- 2管理画面のシステム情報などで、ファームウェアの版が2.6.0.1かどうかを確認します。
- 3WAN側やゲストWi-Fi側など、管理者以外が使うネットワークからルーターの管理機能に届く設定になっていないかを、ルーターの設定画面とファイアウォール設定で確認します。
- 42.6.0.1以外の版が影響を受けるかどうかは、ベンダーの告知や脆弱性データベースの記載で確認してください。
何が起きたか
ComfastのWi-Fi 6ルーターCF-WR632AXの2.6.0.1に、ネットワーク越しに機器内の想定外の場所のファイルへ働きかけられる脆弱性があります。CVSS v3とv4はどちらも10で、機密性・完全性・可用性への影響がすべて高く評価されています。
問題があるのは、機器内の管理用プログラム /usr/bin/webmgnt のうち、Multipartデータを解析する部分です。filename という引数の扱いに不備があり、本来許されていないパスを指定できてしまうパストラバーサル（CWE-22）にあたります。
この脆弱性を突くエクスプロイトは、すでに公開されています。
ベンダーは公表前の連絡に応答しなかったとされています。公開コードがあり認証も不要なため、外部から機器に届く構成であれば、修正版を待たずに公開範囲を絞る対応を優先すべきとみられます。
攻撃の流れ
-
1
機器へ到達
ネットワーク経由でルーターの管理用プログラムwebmgntに届く状態になります。
-
2
細工した送信
Multipart形式のデータで、filename引数に想定外の値を含めて送ります。
-
3
パス検証の不備
webmgntが値を十分に検証せず、本来許されない場所を指定できてしまいます。
-
4
機器内に影響
機器内のファイルや設定に想定外の影響が出て、ルーターの制御が奪われるおそれがあります。
どう悪用されるか
認証は要りません。ネットワーク経由で攻撃でき、利用者がリンクを開くなどの操作も必要ありません。CVSSでは攻撃の複雑さが低く、影響が機器の外にも及ぶ評価になっています。
攻撃されると、ルーター上の情報の漏えい、設定や内容の改ざん、機器の停止がいずれも起こりうると評価されています。ルーターは拠点の通信が通る場所なので、乗っ取られれば配下の端末の通信にも影響が及びます。具体的に何を読み書きできるのかは、解説の時点では分かっていません。
今すぐやること
-
1
対象機を洗い出す
本社、支社、店舗、テレワーク用の貸与機器まで、CF-WR632AXを使っている場所と版を一覧にします。資産管理台帳に載っていない機器がないかも確かめてください。
-
2
管理機能の到達範囲を絞る
インターネット側からの管理アクセスを無効にし、ゲストWi-Fiなど管理者以外のネットワークからも管理画面に届かないようにします。修正版を待たず、最初に行います。
-
3
ベンダーの告知を定期的に確認する
ファームウェアの修正版や回避策の案内が出ていないか、ベンダーのサイトと脆弱性データベースの記載を確認します。修正版が出たら、検証のうえ速やかに適用します。
-
4
侵害の跡を調べる
管理者パスワード、DNS設定、ポート転送、未知のアカウントなどが身に覚えのない状態に変わっていないかを確認します。再起動の履歴や不審な通信ログも見ておくと判断しやすくなります。
-
5
入れ替えを検討する
ベンダーが応答していないため、修正版がいつ出るかは見通せません。インターネットに面した拠点では、サポートが続いている別機種への入れ替えも選択肢に入れてください。
修正版がないあいだのつなぎ
修正版が出るまでのつなぎとして、ルーターの管理機能にインターネット側から届かないようにし、LAN側でも管理者の端末だけが接続できるよう制限します。ゲストWi-Fiや来客用ネットワークからは、ルーター自身への接続を許可しないでください。ただし、webmgntがどのネットワークからの接続を受け付けるかは、設定だけで完全に切れるとは限りません。確実に断つには、上位のファイアウォールで機器への通信を止めるか、機器を入れ替える必要があります。
背景
Comfastはルーターやアクセスポイントなどのネットワーク機器を手がけるメーカーで、CF-WR632AXはWi-Fi 6対応のルーターです。小規模な事務所や店舗、家庭などで、インターネットの出入口として使われます。ルーターが乗っ取られると、その配下の端末の通信経路や設定を握られるため、1台の影響が拠点全体に及びます。
今回の脆弱性は、機器内の管理用プログラムwebmgntが、アップロードされるファイルの名前を示すfilename引数をどう扱うかに関わります。この名前を保存先のパスにそのまま使うと、意図しない場所を指せてしまう種類の問題です。加えてベンダーが連絡に応答していないため、修正版がいつ提供されるのか、利用者の側からは見通せません。
よくある質問
Q.社員が自宅のテレワークでこの機種を使っている場合はどうしますか。
まだ分かっていないこと
- 悪用されたとき、機器上のファイルをどこまで読み書きできるのかという具体的な被害の内容は、分かっていません。
- 実際の攻撃で悪用された事例は、解説の時点では確認されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was detected in Comfast CF-WR632AX 2.6.0.1. Affected by this vulnerability is an unknown functionality of the file /usr/bin/webmgnt of the component Multipart Parser. Performing a manipulation of the argument filename results in path traversal. It is possible to initiate the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com