コープランド社の商用冷蔵コントローラー「XWEB Pro」に新たに23件の脆弱性が明らかになりました。認証バイパスや、予測可能な認証情報生成の欠陥が含まれており、認証されていない遠隔攻撃者がルート権限でのコード実行を獲得できる恐れがあります。
この問題は、Claroty社の研究部門Team82によって公表されたもので、XWEB300D PROおよびXWEB500D PROを含むコープランドXWEB Pro製品ファミリー全体に影響します。コープランド社はこれらの脆弱性に対処するため、ファームウェアバージョン1.13をリリース済みです。
XWEB Proデバイスは、商用冷蔵環境における監視制御装置として機能します。企業ネットワークと分散配置されたフィールドコントローラーを接続し、運用担当者が警報の遠隔監視、温度記録の確認、冷蔵設備の管理を行えるようにします。
典型的な導入環境では、XWEBコントローラーはRS485シリアルネットワーク経由でModbusを使用し、フィールド機器と通信します。これらのフィールドコントローラーは、冷蔵ユニット全体にわたってコンプレッサー、冷却ファン、除霜ヒーター、照明、温度センサーを直接操作しています。
このアーキテクチャにより、XWEBコントローラーは特に価値の高い標的となっています。外部に露出した監視制御装置を1台侵害するだけで、攻撃者はスーパーマーケットや物流センター全体にわたる複数の冷蔵システムへ、集中的にアクセスできるようになる可能性があります。
最も深刻な欠陥の一つであるCVE-2026-25085は、デバイスのLuaベースのWeb認証ロジックに存在します。対象のアプリケーションはHTTP Basic認証リクエストを処理し、ローカルアカウントやLDAPといった既知の認証モードを想定しています。
しかしTeam82は、想定外の認証モードを指定すると、バックエンドの認証機能がリクエストを明示的に拒否する代わりに、空のLuaテーブルを返してしまうことを発見しました。
Luaはテーブルを真値として扱うため、アプリケーションのルーターはこの不正な形式の認証オブジェクトを受理し、保護された管理者用APIルートへのアクセスを許可してしまいます。
この脆弱性により、攻撃者は有効な認証情報を持たずに認証をバイパスできます。管理インターフェースへの侵入に成功すれば、本来は特権管理者専用の機能にもアクセスできるようになります。
別の問題であるCVE-2026-21718は、決定論的な管理者パスワード生成に関するものです。このプラットフォームは、デバイスのMACアドレス、日付、そしてファームウェアに埋め込まれたハードコードされた秘密情報から、日次のWebおよびSSHパスワードを導出しています。
MACアドレスと日付は公開エンドポイントを通じて露出し得るうえ、共有鍵もファームウェアから復元可能であるため、攻撃者はこのパスワード生成プロセスをオフラインで再現できてしまいます。
認証をバイパスするか管理者権限の認証情報を導出した後、攻撃者はAPIおよびCGIエンドポイント全体で確認された19件のOSコマンドインジェクション脆弱性を悪用できる可能性があります。
Team82によれば、ネットワーク設定、連絡先リストのインポート、ファームウェア更新といったタスクを処理する複数の関数が、ユーザー制御下にある入力をオペレーティングシステムのコマンドに連結しているとのことです。
適切なサニタイズが行われていないため、細工されたリクエストやファイルに埋め込まれたシェルメタ文字がコマンド実行を改変できてしまいます。脆弱なサービスは昇格した権限で動作しているため、悪用に成功するとXWEBコントローラー上でルート権限による遠隔コード実行につながる恐れがあります。
Team82は、XWEB Proコントローラー、XR60CXフィールドコントローラー、そして自作の小型冷蔵庫を用いた実環境のテスト環境で、この影響を検証しました。
Amir氏は該当するModbusレジスタをリバースエンジニアリングし、侵害された監視制御装置を通じてフィールドコントローラーを操作するためのPython製概念実証コードを開発しました。
この概念実証は、冷却ファンを無効化する一方で温度表示は正規のプローブ読み取り値と一致させたままにしておくことで、運用担当者に目に見える警告を出すことなく冷蔵庫の温度を上昇させることに成功しました。
影響を受けるXWEB Proシステムを利用している組織は、早急にファームウェア1.13を導入し、管理インターフェースをインターネットへ直接露出させないようにし、運用ネットワークをセグメント化し、管理アクセスを制限し、SSH・Web・Modbus・コントローラー設定に関する異常な活動を監視することが推奨されます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-copeland-xweb-pro-flaw/