Edimax BR-6208ACに脆弱性、攻撃コードが公開
Edimax BR-6208AC 1.32に、認証なしで外部からコマンドを実行されるおそれのある脆弱性が公表されました。攻撃コードが公開済みのため、該当機器を洗い出し、管理画面の外部公開を止めて入れ替えも検討してください。
急ぎ度: 至急
CVSS v3・v4とも最高の10.0で、攻撃コードが公開済みなのに、修正版は確認できていないためです。
関係があるか
Edimax BR-6208ACを拠点や店舗、テレワーク先で使っている組織が対象です。管理画面をインターネット側に公開している場合は、とくに危険度が高まります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Edimax BR-6208AC | 1.32 | 修正版は確認できていません。ほかの版が影響を受けるかも含め、ベンダーの告知を確認してください |
確かめ方
- 1資産台帳や購入履歴で、Edimax BR-6208ACを使っている拠点・店舗・テレワーク先を洗い出す。台帳に載らない機器もあるため、現地の担当者にも聞く
- 2ルーターの管理画面にログインし、ファームウェアの版が1.32か確認する。本体ラベルの型番も見ておく
- 3WAN側から管理画面にアクセスできる設定になっていないか、ルーターの設定画面とファイアウォールの公開ポート設定で確認する
- 4ベンダーのサポートページで、この脆弱性に関する告知と修正版の有無を確認する
何が起きたか
Edimax製の無線LANルーターBR-6208ACのファームウェア1.32に、外部から送られた入力がそのままコマンドとして実行されてしまう脆弱性が見つかりました。悪用されると、ルーターの上で攻撃者の指定したコマンドが動きます。
問題があるのは管理用Webインターフェースの /goform/mpです。この処理のどこに不備があるのかは細かく示されておらず、分類はコマンドインジェクション（CWE-77・CWE-74）です。
攻撃コードがすでに公開されています。
攻撃の流れ
-
1
ルーターに到達
ネットワーク経由でBR-6208ACの管理用Webインターフェースにアクセスできる位置に入る。
-
2
細工した要求
/goform/mpに、コマンドとして解釈される内容を含む要求を送る。
-
3
コマンド実行
ルーターが入力を検証しないまま処理し、指定されたコマンドが機器上で動く。
-
4
機器の掌握
設定の読み出しや書き換え、通信の中継経路としての悪用につながる。
どう悪用されるか
ネットワーク越しに攻撃でき、ログインは要りません。利用者の操作も不要で、難しい条件も付いていません。CVSSの評価では、ルーター単体を超えて影響が及ぶ（スコープが変わる）とされています。
悪用されると、機密性・完全性・可用性のすべてが大きく損なわれると評価されています。ルーターは拠点や自宅と外部をつなぐ通り道なので、設定の流出や改ざん、通信の盗み見、内部ネットワークへの足がかりとして使われることが考えられます。
管理画面がインターネット側から見える状態なら、外部から直接狙われます。見えていなくても、同じLAN内に侵入した端末から攻撃される余地は残ります。
今すぐやること
-
1
対象機器を洗い出す
BR-6208ACを使っている拠点と、ファームウェアの版が1.32かどうかを確認します。テレワーク先に貸与した機器や、現地で個別に購入した機器も忘れずに探します。
-
2
ベンダーの告知を確認する
Edimaxのサポートページで、この脆弱性に関する告知と修正版の有無を確認します。修正版が出ていれば、動作確認のうえ更新します。
-
3
管理画面の外部公開を止める
WAN側からの管理アクセスを無効にし、ポート転送やファイアウォールで管理画面が外から届かないようにします。まずこの手順を済ませるのが、最も効果の大きい緩和策です。
-
4
侵害の跡を調べる
攻撃コードが公開されているため、設定の覚えのない変更（DNS設定、ポート転送、管理者アカウント）や、不審な外向き通信がないかを見ます。見つかれば初期化して設定し直し、パスワードも変更します。
-
5
入れ替えを計画する
修正版が出ない、または出る見込みが立たない場合は、サポートが続いている別のルーターへの入れ替えを計画します。入れ替えまでは、下の回避策でつなぎます。
修正版がないあいだのつなぎ
管理画面へのアクセスを、信頼できる管理用端末だけに絞ります。具体的には、WAN側からの管理を無効にし、ルーターより手前のファイアウォールで管理画面への通信を遮断し、LAN内でも管理用端末以外から届かないようにします。ゲスト用や来訪者向けのネットワークから、ルーターの管理画面が見えないことも確認してください。この対策は攻撃の入口を減らすだけで、脆弱性そのものは残ります。入れ替えまでの暫定策と考えてください。
背景
BR-6208ACはEdimaxの小規模拠点・家庭向け無線LANルーターです。大企業の基幹ネットワークよりも、支店や店舗、在宅勤務先に置かれ、情報システム部門の管理台帳に載りにくい場所で使われがちです。
「/goform/」で始まる管理画面の処理は、小型ルーターのWebインターフェースで広く使われる形式です。入力値をそのままシステムのコマンドに渡す作りになっていると、今回のようなコマンドインジェクションが起きやすくなります。ルーターが乗っ取られると、その配下の通信すべてが影響を受けます。
よくある質問
Q.テレワーク社員の自宅にあるルーターも対象ですか。
Q.管理画面を外に公開していなければ、急がなくてよいのでしょうか。
まだ分かっていないこと
- /goform/mpの中で具体的にどの処理が原因なのかは、示されていません。
- ベンダーは公表前の問い合わせに応じておらず、修正版の提供予定は分かっていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A flaw has been found in Edimax BR-6208AC 1.32. Affected by this vulnerability is an unknown functionality of the file /goform/mp. Executing a manipulation can lead to command injection. The attack may be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com