わずか3ポンドという格安のWi-Fi中継機に、あらかじめ仕込まれた隠しバックドアが存在し、システム全体が乗っ取られかねないことが明らかになりました。ペネトレーションテスターのKieran Smith氏は、Temuで購入した無名メーカー製の信号増幅器のファームウェアを丹念に解析し、製品ライン全体で共通のパスワードを持つ未文書化のrootアカウントを発見しました。標準の管理者パスワードを変更するだけではこの脆弱性は解消されません。この中継機は再起動のたびに、この隠された認証情報を必ず復元してしまうためです。
隠されたroot認証情報の発覚
販売業者はこの機器を6本のアンテナを備えた信号ブースターとして売り出していましたが、モデル名やメーカー名は一切明記されていませんでした。機器を分解したSmith氏は、Z05L V1.0のマザーボード、MediaTek MT7620プロセッサ、そして4メガバイトのWinbond W25Q32BV SPIフラッシュメモリチップを確認しました。興味深いことに、謳われていた6本のアンテナのうち、実際に回路へ接続されていたのはわずか4本だけでした。ファームウェアはLinux 2.6.36とBuildroot 2012.11.1上で動作しており、ビルド日付は2024年8月を示しているにもかかわらず、Linux 2.6.36カーネルの公式サポートは2011年にすでに完全終了しているという驚くべき状況でした。
研究者はBus Pirateツールを用いてフラッシュメモリの内容を抽出し、カーネルを展開して、組み込まれたinitramfsファイルシステムを取り出しました。masterCtrlと呼ばれる独自ユーティリティの中に、9文字の文字列が存在し、実行コードが起動時にこれを自動的にrootパスワードとして設定していることを突き止めました。このアカウントはUID 0を取得するため、Linux環境において最上位の管理者権限を得ることになります。
それと同時に、起動シーケンスのたびにmasterCtrlは無条件でTelnetサービスを起動します。このサービスはシステム認証を利用し、隠されたrootパスワードをそのまま受け入れます。Webインターフェース上にはこの隠しアカウントが一切表示されないため、所有者にはアクセスを取り消したり、パスワードを恒久的に変更したりする手段がありません。システムコンソールから手動でパスワードを変更しても、その変更が有効なのは当該の電源サイクル中のみです。rootファイルシステムが完全に揮発性メモリ上で動作しているため、次回起動時にはmasterCtrlがハードコードされた定数から認証情報を単純に再生成してしまうのです。
深刻な認可・API脆弱性
問題は隠しパスワードにとどまりません。包括的な分析により、この中継機のWeb APIは管理者操作を実行する前の認可チェックを実質的に素通りさせてしまうことが判明しました。ログインページはログイン成功を示すブラウザクッキーを生成するものの、バックエンドのアーキテクチャは堅牢なセッション管理をまったく行っておらず、リクエスト処理の前に検証を義務付けていません。その結果、巧妙に作成したAPIクエリを送るだけで、コントロールパネルに一度もアクセスすることなく、保存済みのWPA2キーを簡単に取得できてしまいます。
さらに、ファームウェアには深刻なコマンドインジェクションの欠陥も存在します。特定のハンドラーが、送信されたMACアドレスを適切なサニタイズを一切行わないままシステムコマンド文字列に直接挿入しているのです。この脆弱なクエリを悪用すれば、アクセス可能なネットワーク内にいる攻撃者は、完全なroot権限で任意のコマンドを実行できます。コードベース自体にはMACアドレスを検証するための専用関数が実際に存在しているにもかかわらず、欠陥のあるハンドラーはこの関数を呼び出すことを痛恨のミスとして怠っています。詳細な技術情報については、バックドアを持つ3ポンドのWi-Fi拡張機に関する包括的な分析を参照してください。
拡大する攻撃対象領域
侵害に成功した後、持続的なアクセスを確立するのも同様に容易です。この中継機はファームウェア更新の検証を、CRC32チェックサムと画像サイズのパラメータのみに依存して行っています。研究者は暗号署名、HMAC検証、あるいはメーカー鍵の証跡を一切確認できませんでした。CRC32は偶発的なファイル破損の検出には有効ですが、ファームウェアの出所を認証する機能はまったく果たしません。そのため、悪意ある攻撃者は形式上は正当な、しかし改ざんされたイメージを作成でき、その不正な変更は再起動後も残存してしまいます。
安全でないネットワーク構成が攻撃対象領域を大幅に拡大させています。masterCtrlはNATや通常のパケット処理にiptablesルールを利用しているものの、INPUTフィルターテーブルには不可解にもACCEPTポリシーが設定されたままです。その結果、Telnet、HTTP、その他各種のリスニングサービスが、上流のWISP接続を含む中継機のすべてのインターフェース上で無条件にアクセス可能な状態になっています。ホテル、カフェ、寮、あるいはその他の共有ネットワーク環境において、同一サブネット上のほぼすべての利用者が、この隠しrootアカウントに事実上アクセスできてしまう可能性があります。
完成品の正確なブランドを特定することはできませんでした。Z05Lマザーボードはホワイトラベル製造方式に則ったもので、単一の基本設計が、まったく異なる名称のもとで多数の販売業者に流通しています。この実態により、脆弱性の真の規模を把握することは極めて困難です。見た目のまったく異なる中継機であっても、同一のファームウェアと共通の秘密パスワードによって影響を受けている可能性があるためです。さらに、今回の調査は開発者側の悪意を決定的に証明するものではありません。この隠されたアクセス経路は、単に工場出荷時の診断やテクニカルサポート手順の悪質な名残にすぎない可能性もあります。とはいえ、エンドユーザーにとっての実質的な結末は変わりません。この機器には、正当な手段で無効化したり恒久的に変更したりすることができない、未文書化のrootへの入り口が存在しているのです。
翻訳元: https://meterpreter.org/wi-fi-repeater-backdoor/
