セキュリティ研究者らは、Copeland社の業務用冷却システムコントローラー「XWEB Pro」に23件の脆弱性を発見しました。うち21件は「高」深刻度と評価されています。
クラウドセキュリティサービス
これらの脆弱性を悪用すると、未認証の攻撃者がルート権限でリモートコード実行を行い、接続された冷却設備を制御できてしまう可能性があります。
ClarotyのTeam82は、認証の不備、推測可能な管理者認証情報、コマンドインジェクションの脆弱性を組み合わせることで、攻撃者がXWEB Pro監視コントローラーを侵害できると突き止めました。
研究者らは概念実証（PoC）環境において、コントローラーを侵害すれば、通常の温度表示を維持したまま冷却コンポーネントを停止させられることを実証しました。これにより、食品や医薬品など温度管理が必要な物品が気づかれないまま劣化する状況を作り出せる可能性があります。
Copeland XWEB Proの脆弱性
Copelandはこれらの不具合をファームウェアバージョン1.13で修正済みです。Team82によると、監視コントローラーは業務用冷却ネットワークにおいて重要な役割を担っています。
XWEB Proデバイスはイーサネットネットワークに接続され、運用担当者はアラームの監視、温度ログの確認、複数ユニットの冷却設定をリモートで行えます。
これらのコントローラーは、RS485シリアルネットワーク経由（多くの場合Modbusプロトコルを使用）でフィールドデバイスと通信します。これらのフィールドコントローラーは、コンプレッサー、冷却ファン、除霜ヒーター、照明、温度センサーなどの機器を直接制御しています。
このアーキテクチャゆえに、XWEB300D ProおよびXWEB500D Proは特に脆弱な状態にあります。監視レイヤーが侵害されれば、攻撃者は集中的な可視性を獲得し、広範な物理冷却資産を制御下に置ける可能性があります。
認証バイパスと推測可能なパスワード
最も深刻な問題の一つが、CVE-2026-25085として追跡されている脆弱性で、同プラットフォームのLighttpd Webサーバーが使用するLuaベースの認証ミドルウェアにおけるロジックの不備です。
この不備は、アプリケーションがHTTP Basic Authorizationヘッダーを解析する際、ローカルアカウントやLDAPといった既知の認証モードが指定されることを前提としている点に起因します。
しかし、未知のモードが指定された場合、認証関数はリクエストを明示的に拒否するのではなく、空のLuaテーブルを返してしまいます。
Luaでは空のテーブルであっても真（truthy）として扱われるため、ルーティングロジックはこの結果を誤って有効な認証として受け入れてしまいます。その結果、リモートの攻撃者は正当な認証情報を持たなくても、保護された管理用APIルートにアクセスできてしまう可能性があります。
Team82は、管理者用SSHおよびWebインターフェースの両方の認証情報に影響する、決定論的なパスワード生成メカニズムであるCVE-2026-21718も発見しました。
このシステムは、現在の日付、コントローラーのMACアドレス、ファームウェアに埋め込まれたハードコードの暗号材料をもとにパスワードを生成します。
攻撃者は、公開されているエンドポイントからMACアドレスと日付を取得可能です。加えて、静的なシード値は製品ライン全体で共通しています。
そのため、このパスワード導出プロセスを再現できる者であれば、オフラインで有効な日次管理者認証情報を生成し、SSHやShellinaboxの管理インターフェースにアクセスできてしまいます。
コマンドインジェクションによるルート権限の取得
攻撃者は管理機能へのアクセスを一度獲得すると、各種APIおよびCGIエンドポイントに存在する19件のOSコマンドインジェクションの脆弱性を悪用できる可能性があります。
脆弱性評価サービス
研究者らは、複数のバックエンド機能が、ユーザーが制御可能な入力を十分なサニタイズなしにOSコマンドへ連結していることを発見しました。影響を受ける機能には、連絡先リストのインポート、ネットワーク設定、ファームウェア更新に関連するものが含まれます。
細工したJSONデータやアップロードファイルを通じてシェルのメタ文字を注入することで、攻撃者は基盤となるLinuxシステムに任意のコマンドを実行させることが可能です。これらのサービスは昇格された権限で動作しているため、悪用に成功すればXWEBコントローラー上でルート権限のコード実行につながる恐れがあります。
Team82は、XWEB Proコントローラー、XR60CXフィールドコントローラー、カスタム製の小型冷蔵庫からなるテスト環境を用いて、サイバー・フィジカル領域への潜在的な影響を検証しました。フィールドコントローラーは、シリアル接続を介したModbus経由でXWEBデバイスと通信していました。
研究者らは、文書化されていないModbusレジスタをリバースエンジニアリングし、フィールドコントローラーの機能をリモートで制御しました。彼らが作成したPython製のPoCは、XR60CXに表示される温度を改ざんできるほか、物理的なコンポーネントを個別にオン・オフできることが確認されました。
この実証実験では、研究者らは冷却ファンを停止させながら、正規のセンサー温度をそのまま表示し続けました。その結果、冷蔵庫内は徐々に温度が上昇していったにもかかわらず、表示上は正常に見えました。このシナリオは、検知を遅らせて冷蔵品の劣化につながりかねない攻撃手法を示しています。
影響を受けるCopeland製XWEB Proデバイスを使用している組織は、ファームウェアバージョン1.13への更新を優先し、管理インターフェースをインターネットに公開しないよう制限するとともに、運用技術（OT）ネットワークをセグメント化し、コントローラー設定やModbus通信に異常な変化がないか監視することが推奨されます。
新たなフィッシングやマルウェアがビジネスを侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/23-copeland-xweb-pro-vulnerabilities/
