ゼロデイRCEにより世界中の70,000台超のXSpeederデバイスが露出

広く導入されているネットワーク機器で新たに開示されたゼロデイ脆弱性により、数万の組織がシステムの完全な侵害にさらされており、現時点でベンダーのパッチは提供されていません。

この欠陥により、攻撃者は認証なしで影響を受けるデバイスをリモートから完全に制御でき、エッジおよびSD-WANインフラに依存する企業にとって緊急の懸念が高まっています。

これは「…エージェントによって発見された、リモートから悪用可能な初の0day RCEです」と、pwn.aiの研究者は開示の中で述べています。

SXZOSゼロデイの範囲と潜在的影響

この脆弱性は、中国のネットワークベンダーXSpeederが使用する中核ファームウェアであるSXZOSに影響します。影響を受ける製品には、SD-WANアプライアンス、エッジルーター、スマートTVコントローラーが含まれます。

研究者によると、現在オンライン上で70,000台を超えるSXZOSベースのシステムが露出しています。

根本的に、この脆弱性（CVE-2025-54322）は、SXZOSファームウェアに組み込まれたDjangoベースのWebアプリケーション内における安全でない入力処理に起因します。

研究者は、/webInfos/エンドポイントに重大な欠陥があることを特定しました。このエンドポイントは複数のHTTP GETパラメータを受け取り、実質的な入力検証やサニタイズを行わずに処理します。

このエンドポイントは認証前に到達可能で、デフォルトでインターネットに面した管理インターフェース上に公開されています。

最も深刻な問題はchkidパラメータに関わります。SXZOSはこのパラメータをbase64からデコードし、そのデコード値をPythonのeval()関数に直接渡します。

eval()は任意のPython式を実行するため、この関数に到達する攻撃者制御の入力は信頼されたコードとして扱われます。

この設計は、データと実行可能なロジックの境界を事実上崩壊させ、直接的なリモートコード実行プリミティブを生み出します。

欠陥を悪用するには、攻撃者は悪意のあるPythonペイロードをbase64エンコードしてchkidパラメータに埋め込んだリクエストを作成します。

デコード後、ペイロードはWebアプリケーションのコンテキストで評価され、基盤となるオペレーティングシステム上でroot権限による即時のコマンド実行が可能になります。

これにより攻撃者は、バックドアの導入、ネットワーク設定の改ざん、トラフィックの傍受、または接続された環境への横展開（ラテラル）を行えます。

SXZOSは、機密エンドポイントへのアクセスを制限することを意図した複数の防御機構を実装しています。

これには、リプレイ攻撃を抑止するための時刻同期nonceヘッダー（X-SXZ-R）、特定のルートにアクセスする前にセッションクッキーを初期化する要件、既知の悪性パターンをブロックすることを意図した単純な部分文字列ベースの入力フィルターが含まれます。

しかし、これらの保護は脆弱なアプリケーションロジック内部ではなく、ミドルウェアおよびNginx層で強制されています。

フィルタリングロジックはデコード前の入力に対して動作し、静的なパターンマッチングに依存しているため、エンコードや軽微なペイロード難読化によって回避可能です。

攻撃者が期待されるリクエスト構造とタイミング要件を満たすと、リクエストは変更されないままDjangoビューへ転送され、危険なeval()呼び出しが実行されます。

その結果、多層防御は表面的な摩擦を与えるにとどまり、悪用可能性を実質的に低減しません。

全体の攻撃チェーンは複雑性が低く、認証、特別なアクセス、正規ユーザーの操作を必要としません。

研究者は、公開時点で野外での悪用は報告していません。

悪用に認証が不要で、インターネットに面した管理インターフェースが標的となるため、防御策はアクセス削減、可視性、封じ込めを優先すべきです。

SXZOSの管理インターフェースをインターネットへ直接公開しないようにし、外部アクセスが避けられない場合はIP許可リストやアクセス制御リストで制限してください。
強固なネットワークセグメンテーションを実装し、信頼関係を制限することで、ラテラルムーブメントを抑え、侵害の可能性を封じ込めます。
ファイアウォール、リバースプロキシ、またはWebアプリケーションファイアウォールのルールを用いて、脆弱な/webInfos/エンドポイントへのアクセスをブロックまたは制限する。
HTTPトラフィック、システムイベント、設定変更を監視し、集中ログ化することで、不審な活動を検知し、インシデント対応を支援します。
不要なサービスを無効化してデバイス設定を強化し、送信トラフィック制限を適用し、管理インターフェースにレート制限を強制します。

ベンダーがまだパッチをリリースしていないため、これらの制御はリスクを低減し、影響範囲（ブラスト半径）を制限するのに役立ちます。

この脆弱性は、安全でないファームウェア開発慣行、広く露出したエッジデバイス、セキュリティ問題に対するベンダーの対応の不一致といった、現代のインフラにおける複数の一般的なリスク要因がますます重なり合っていることを示しています。

また、自律型セキュリティ研究の進歩により、組み込みシステムの分析がより速く深く行えるようになり、従来のベンダーの修正プロセスが追いつくよりも早く重大な欠陥が表面化することが多い点も反映しています。

これらの状況を総合すると、侵害を前提とし、厳格なアクセス制御とセグメンテーションを重視するセキュリティモデルの必要性が強まります。これらの原則はゼロトラストアーキテクチャの中核に位置します。