セキュリティ研究者が、診断機能に関連するルーターのWebパス12種類を標的とした繰り返しスキャンを観測しました。ボットネットの運営者がリモートコード実行が可能な脆弱なデバイスを探している可能性があるとして懸念が高まっています。
この活動は、ping、traceroute、システム診断、ネットワークテストといった一般的なルーターユーティリティに焦点を当てています。
これらの機能は管理者にとって便利なものですが、開発者がユーザー入力をそのままOS(オペレーティングシステム)コマンドに渡してしまうと、深刻なセキュリティリスクになりかねません。
今回確認されたスキャンパターンには、/apply.cgi、/cgi-bin/adv_ping.cgi、/cgi-bin/diagnostic.cgi、/cgi-bin/ping.cgi、/cgi-bin/traceroute.cgi、/diag_ping.cgi、/goform/diagTool、/goform/ping、/ping_test.cgi、/sys_diag.htmlへのリクエストが含まれています。
これらのリクエストは、標的となったすべてのエンドポイントが脆弱であることを示す証拠というよりは、インターネット全体を対象とした広範な偵察活動であるとみられます。パスの中には、公開文書化された脆弱性が存在しないものも複数含まれています。
とはいえ、攻撃者は関連する多数のURLをまとめてスキャンすることがよくあります。ルーターのファームウェアはベンダー、モデル、製造時期によって大きく異なるためです。公開されたデバイス上で動作するエンドポイントが一つでもあれば、攻撃者にとって管理インターフェースへの直接的な侵入経路となり得ます。
既知の一例が/apply.cgiで、Four-Faith社のF3x24およびF3x36産業用ルーターにおけるCVE-2024-12856に関連しています。
この脆弱性は、デバイスのシステム時刻を変更するために使用されるHTTPリクエストを通じて、リモートからのOSコマンドインジェクションを可能にします。
デフォルトの認証情報がそのまま使われている場合、認証要件が事実上意味をなさなくなり、リモートからの侵害がはるかに容易になってしまいます。nvd.nist+1
もう一つの古い事例がCVE-2013-7179で、Seowon Intech社のWiMAXルーターに影響を及ぼします。この問題は診断用CGI機能に関連しており、ping関連パラメータの不適切な処理を通じてコマンド実行が可能になるというものでした。
今回新たに観測されたスキャン対象のパス群には、GocloudおよびEdimax製品で報告されている脆弱性に関連する可能性のあるものも含まれていますが、エンドポイントが一致するというだけでは特定のデバイスが影響を受けていることの証明にはなりません。
ルーターの診断ページでは一般的に、管理者がホスト名やIPアドレスを入力してping、traceroute、DNSルックアップ、接続テストを実行できるようになっています。
Webインターフェースの背後では、ルーターがpingのようなシステムコマンドを実行し、その出力結果をブラウザに返しているとsansは述べています。
危険が生じるのは、アプリケーションが固定のコマンド文字列と攻撃者が制御可能なデータを組み合わせてコマンドを構築する場合です。脆弱な設計は、次のようなロジックに似たものになり得ます。
ルーターが入力された値をそのままコマンドシェルに送信すると、特殊文字によってコマンドの意味が変わってしまう可能性があります。
その結果、デバイスは本来のネットワークテストのみを実行するのではなく、攻撃者が選択した第二のコマンドを実行してしまうことがあります。これはOSコマンドインジェクションと呼ばれる手法です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/botnet-probes-router-diagnostics/
