米国と欧州で冷蔵設備を運用する企業が最近のハッキング被害から立ち直りつつあるなか、脅威インテリジェンス企業が、広く使われている製品に新たに見つかった十数件の深刻なセキュリティ脆弱性を公表しました。一方で、同様のインターネット接続機器に対する攻撃者の強い関心も、引き続き確認されています。
サイバーセキュリティ企業のVulnCheckは金曜日、冷蔵技術企業Copelandが製造するDixell製冷蔵ユニットで今年初めに発見した14件の脆弱性について、詳細を公表しました。ベンダーのファームウェアを再構築した環境での検証によると、どの欠陥も、攻撃者が感染したユニットの「root」権限、つまり管理者権限を取得できるものだったといいます。脆弱性の多くは深刻度スコアが8〜9.8で、少なくとも2件は実環境で悪用されていることが確認されています。
脆弱性はいずれも、DixellとCopelandの監視システム「XWEB EVO」に影響します。このシステムは、10月にフランス国内の700のスーパーマーケットで冷蔵コントローラーがハッキングされた事件で、被害を受けたことが判明している4製品のうちの1つです。
VulnCheckのセキュリティ研究者Valentin Lobstein氏は、XWEBのセキュリティ状況を調べ始めたきっかけを説明しています。他社製の被害機器について、管理者アカウントのパスワードがその日の日付に設定されているなど、「ほとんど侮辱的」と言えるほどの不備があったという記事を読んだことでした。その後、同氏はXWEBのアクセス制御の調査に着手しました。
「毎日変わる単純なコードよりもたちが悪い」とLobstein氏は書いています。「ログインページは、パスワードを確認するよりも前に、入力されたユーザー名をシェルコマンドとして実行します」
Lobstein氏とVulnCheckはCopelandとDixellに通知し、脆弱性を公表する前に問題の修正を支援しました。現在はパッチが提供されています。ただ、監視システムの旧バージョンは、乗っ取られる可能性が残ったままです。
Copelandは、一部のXWEB監視ソリューションが影響を受けることをCyberScoopに認めました。同社は顧客に対し、機器を公開インターネットに接続しないこと、最新のパッチ適用済みソフトウェアに更新することを強く求めています。
「当社は引き続き、機器を公開インターネットに接続しないこと、ソフトウェアとファームウェアを入手可能な最新の状態に保つことなど、業界標準のサイバーセキュリティ対策に従うようお客様に推奨しています」と、Copelandの広報担当者はコメント要請に対し回答しました。「こうした対策は、報告されたリスクの軽減に役立ちます。当社はすでにお客様に連絡を取り、先に提供したサイバーセキュリティのベストプラクティスとパッチ適用ガイダンスを改めてお伝えしています。必要に応じて、当社チームがお客様を支援します」
一方、XBOWの研究者Max Günther氏は、影響を受けたのと同じベンダー・モデルを模倣した偽の「ハニーポット」サーバーを複数構築しました。インターネットに接続された産業用コントローラーが、いかに早く不要な注目を集めるかを浮き彫りにしています。
Günther氏は、架空のピザチェーン店の一部としてこれらのサーバーをオンラインに展開し、Shodanなどの検索エンジンにインデックスさせました。さらに、ハッキングが現実世界に及ぼしうる影響を可視化するオンラインダッシュボードも用意しました。1日もしないうちに、サーバーは攻撃者から探索を受けるようになり、なかには温度設定へのアクセスや変更を試みる者もいました。
「すでに数百件のリクエストを確認しています。PHP2Shell関連の一般的なエクスプロイトの探索から、模擬冷蔵コントローラーへの実際のログイン試行まで、さまざまです」。同氏は今週初め、LinkedInに投稿しました。「そして、何者かがログインに成功したようで、私の仮想冷凍庫の1台の温度を変更し、中の仮想ピザをすべて解凍してしまいました」
フランス当局は、スーパーマーケットへのハッキングについてイラン政府の関与を指摘しています。米軍が保有する冷蔵設備に影響した一連の同様の事案も、サイバー攻撃が原因だと疑われています。ロイターが報じました。
翻訳元: https://cyberscoop.com/copeland-dixell-refrigeration-vulnerabilities/
