エレコムやロジテック製無線LANルーターで、製品発売時には存在しなかった脆弱性 55
ストーリー by nagazou
そろそろ扇風機みたいに使用期限シール貼った方がいいかも 部門より
そろそろ扇風機みたいに使用期限シール貼った方がいいかも 部門より
あるAnonymous Coward 曰く、
エレコムの8/10の発表によると、エレコムおよびロジテック無線LANルーターなどネットワーク製品の一部に、製品発売時には存在しなかった？脆弱性があるとのこと。
すでにサポートは終了しておりアップデートの配布はなく、代替製品への切り替えのお願いが出ている。
個人的な見解では製品発売日には知られていなかった脆弱性なだけで、存在はしていたんじゃないかな、という気がするが、脆弱性は生まれたときにはただのバグで、人の意思が込められたときに脆弱性に変るのかもしれない。出世魚のように。
2017年2月以前に発売したエレコムやロジテック製無線LANルーターやその他のネットワーク製品の一部に、新たな脆弱性が発見されたという。対象製品のアップデートサービスは既に終了しており、このまま使用を続けると、脆弱性が悪用される可能性があるとして、代替製品への乗り換えなどを推奨している。同社では対象となる製品をサイト上で掲載しているが、エレコム製で14製品、ロジテック製で12製品の製品名が挙がっている（エレコムリリース、ITmedia）。
2018年には見つかってた脆弱性の可能性 (スコア:2, 興味深い)
エレコムでコマンド実行をsradで見た気がしたと思って探したら、コレガがやらかした時のストーリー [hardware.srad.jp]の、
おすすめルータを聞くツリー [srad.jp]に、コマンド実行URLが残ってる機種が有る [srad.jp]ってコメントが。
2018年03月20日のコメントだけど、もしかして本ストーリーでネタになってる脆弱性だったりする？
2020年に修正した脆弱性 [elecom.co.jp]が、他機種に有るか水平展開してなくて今回こうなったのかしらねぇ。
2020年以降も、指摘されるたびにポ [elecom.co.jp] ツ [elecom.co.jp] ポ [elecom.co.jp] ツ [elecom.co.jp] と [elecom.co.jp]別機種で似たような脆弱性情報出てるし、
どうやら、エレコムは指摘されるまで放置プレイしてる感じが有るから、修正済みか、死亡判定出ている機種以外は気を付けないと同じ脆弱性を持ってそう。
他にも、同じツリーの、AtermのDNS指摘 [srad.jp]がブラウザのTCPクエリ送信でネットにつながりにくくなる現象、一部ルーターが原因か [it.srad.jp]で今月ストーリーになったりと、5年前のストーリーコメントなのに未だに有効だったとは。
古い製品だから (スコア:1)
2009年から2017年ごろの製品なので、買い替え時期なのかもしれない。
詳細は、エレコムのページにある"関連情報"のリンクに出ています。
https://www.elecom.co.jp/news/security/20230810-01/ [elecom.co.jp]
Re: (スコア:0)
量販店で去年末ぐらいに買った奴(WRC-2533GST2)が調べたら2018年10月発売の製品だったから型落ちで安くなってる製品だと買って1,2年で「寿命」を迎える可能性があるかもしれない。
Re: (スコア:0)
さすがに量販店の店頭に3、4年前に生産された商品は置いてないので
発売から(製造)販売終了までが長かったのでは？
販売してたなら当然アップデートもしてただろうし。
(アップデートが難しければ販売終了してると思う)
発売ではなく販売終了から一定期間経ってればサポートが終了しても仕方ないと思う。
こういうのって (スコア:0)
該当製品使ってる人が気づくかどうかだよね。
一度接続したら設定画面すら見ないファームウェアも更新しないみたいな人だったら気づきようがないな。
もうネット切断しよう。
Re: (スコア:0)
最近はファームウェア自動更新がデフォルトでONになってるけどね。
でもサポート切れならどうしようもない。
行政にメーカーが届け出たサポート期間を過ぎたら、電源をOFFして起動しなくなるような作りにするようメーカーに義務付けた方がいいのでは。
Re: (スコア:0)
エレコムタイマーと呼べばよろしいか
Re: (スコア:0)
どんな製品にも寿命がある
Re: (スコア:0)
元ネタでは保証期間が過ぎた途端に計ったように故障するような精密な品質管理のことを指す
Re: (スコア:0)
「その製品を使っていると（私が)なにか困りますか？」という疑問に納得できる答を返せないと、たいていの人は激怒すると思うよ。
意識低い系の言い方をすれば、「ハッカーが何でもできるって映画の中だけだと聞いたけど？ データが盗まれる？ 盗まれて困るようなものパソコンの中に入ってないし」
Re: (スコア:0)
デジタル大臣に法律で決めてもらおう
Re: (スコア:0)
マイナンバーカードの押し付けもろくにできないようなデジタル大臣が何だって?
Re: (スコア:0)
> マイナンバーカードの押し付けもろくにできない
カスどもに理屈を説いても無駄なんだからしゃーないだろ。
Re: (スコア:0)
実際考えられる最悪の被害は「ルータから爆破予告が書き込まれてあなたやあなたの家族が警察に逮捕されます。」かな。
（任意のコマンド実行ができる脆弱性の場合）
脆弱性そのものの放置は故意か過失かの証明が難しいから、
ルータ設置者に管理義務とセキュリティホールを放置した場合に罰則を課す新法でもないと無理か。作れば「知らない」という言い訳は通らなくなる。
NETGEARのおいら大勝利 (スコア:0)
無茶高いけどね。
Re: (スコア:0)
？？？
Re: (スコア:0)
NeTgeaR宣言？
まあNetgearも、出所不明情報だと結構前からコストダウンのためにファーム開発をアウトソースしてあれみたいだから。
それに関係してるか知らんけど、俺が持ってるトライバンド(5GHzx2, 2.4GHzx1)のごついやつも、購入の決め手になった
Apple Timemachine対応がファームアップで打ち切りになってちょっと待てよ！ってなったことがある。
でもTelnetログインしてあれやこれや出来たりして憎めないんですよね...
Re:NETGEARのおいら大勝利 (スコア:1)
TimeMachineがAFPからSMBに切り替わったタイミングかな。
NETGEARのNASはSynologyのNASに比べて、TimeMachineの扱いが不得意なので、その影響かな。
あと、最近のNETGEARはメッシュのorbi偏重になっている影響もあるかも。(orbiにはUSBポートは無い)
サポート期間を明示して欲しい (スコア:0)
安い無線LANルーターは短いサポート期間でも良いし、それで納得して買うユーザーもいると思う。
Re: (スコア:0)
メーカー的にアレですのでマイナス値でいいんじゃね？
LAN側からアクセス可能 (スコア:0)
「LAN側からアクセス可能」が条件のようだが。
それが成立してるなら、既に普通の状態じゃなくないか？
Re: (スコア:0)
まー、有線LANのみのルーターなら「それルーターがある部屋まで侵入されてるやん。脆弱性がどーこーいう以前の問題やろ！」と言えますけど、壁越しにワイヤレスで隣家の無線対応ルーターにアクセスするのも「LAN側から」になるでしょうからそれなりにありえるシチュエーションなのでは？
Re: (スコア:0)
壁越しにワイヤレスで隣家の無線対応ルーターにアクセスするのも「LAN側から」になるでしょうからそれなりにありえるシチュエーションなのでは？
Wi-Fiパス割れてる想定ですかね
それだと「脆弱性がどーこーいう以前の問題やろ！」と同等でよいかと
Re: (スコア:0)
「認証不備により任意のコマンドが実行可能」と書いてあるように読めるのだが。
Re: (スコア:0)
認証後、任意のコマンドが実行可能→対象製品にログイン可能な攻撃者によって...
認証不備により任意のコマンドが実行可能→対象製品にLAN側からアクセス可能な攻撃者によって...
の２通りがあることから、「認証不備により」は製品へのログインに穴があることと考えられます。
WiFiパス割れてなければ無線でクラックは無理だと思いますよ
Re: (スコア:0)
Wifiパスワード、設定されてるといいんですけど……。
デフォルトのまま放置ってのが大量にあるんじゃないですかね。
Re: (スコア:0)
Pardon?
Re: (スコア:0)
どこの会社とは言わないけど、中小企業だと会議室の机の上にAPがあって
WPSも有効だったりするんだよねえ。管理者に言っても直らない。
もちろんLDAPなんて使ってないのでつなぎたい放題だよなあ。
ちなみにその会社は5年ぐらい前に買った既にサポート切れのAterm [nec.com]を
使っていてる。当然ながら管理者にその件を指摘しても放置だったりする。
ええ、専任の管理者がいる上場会社でもこの程度ですよ。
Re:LAN側からアクセス可能 (スコア:1)
そういう会社でも、自社で機器を購入して保守しなくていいテレワークに際しては
「最新機種の無線LANルーターを使え」「ファームウェアは常に最新にしろ」と厳命して炎上すると思う。
Re: (スコア:0)
その会議室の机は保安区画外なの?
Re: (スコア:0)
当然社内の会議室なので保安区画内。
ちなみにその会議室は直接外につながる入口もあるけど通常は閉鎖。
# でも客先によっては自由にそこから出入りしても構わないとしてたりする。
# おかげでどこの会社の誰が会議室に来ているのか、総務が把握できないという…
Re: (スコア:0)
やってて当然的に書いてるけど、LDAPでAPが直接認証するな。それこそ「一つの機器の脆弱性から芋蔓式」の温床。面倒でもRADIUS挟め。
Re: (スコア:0)
WPA は完璧ではないかもしれんが、それが突破された上での話ってことだよね。
WPS はそのとおりだが、それを押されちゃう環境は普通の状態じゃないと思うw。
エレコムは理解してんのかな。新しいのを売りたいだけ？
Re: (スコア:0)
金輪際リナックス™の頃から変わってないだけでしょ
Re: (スコア:0)
これなw。
https://linux.srad.jp/story/14/06/18/0548246/ [linux.srad.jp]
理解力も技術力もお察しってことやな。
Re: (スコア:0)
普通の状態じゃなくてもLAN内の機器を踏み台にLAN内を暴れ回られるのは稀によくあることかと。
どうせLAN内だし管理者アカウントはデフォルトのままでいいかーという死亡フラグ(最近の無線LANはランダムPWだけど)。
Re: (スコア:0)
想定される攻撃者が、子供やゲストの可能性が有りますから。
タイマーでオフにしたり、ゲストを無効化したのにメインのWi-FiのSSID/共有キー盗まれて勝手に使われたりとかね。
発売時には無かった脆弱性って (スコア:0)
事故ってない新車みたいな話だよね
サポート期間があるのは構わないが (スコア:0)
サポート期間があるのは構わないが、それならユーザーが自由にファームウェアを書き換え出来る様な設計にしてくれよ。
それならサポート切れ以降は自前でアップデートするから。
制限するなら責任を持て。
まぁ実際やろうと思えば自前でファームウェア書き換えはできるかもしれないけど。
自動更新だけじゃなくファイルをアップロードする機能は大概あるし。
署名検証とかしてるのかな？
ここで言ってるのは情報の公開や環境整備とかそういうの。
とはいえLAN側に侵入されてる前提の脆弱性なら大した問題とも思わないけどね。
その時点で殺害予告くらいできるんだから気にしても仕方ない。
全然問題なし。
一応不正なアプリやWi-Fi機器一つで何でもできるって話だが、わざわざ特定機種のルーター狙わんだろう。
Re: (スコア:0)
OpenWrtんとこみてると、それを採用するまでもなく、独自ファームの入れ方は多少わかる。
それと、技適の問題が残るが、開封してEEPROM書き換えに行くが早そう。いまどき、安い中華のアダプタもあるし。
Re: (スコア:0)
自分で全部やりたいっていうなら無線LANルーターなんて専用機器を買うんじゃなくて、
適当なPCをルーター化すれば良いんですよ。
Re: (スコア:0)
素人がリリース書いたのかな。要らん一言で言い訳がましく感じてしまう。
Re: (スコア:0)
これは存在していたけど見つかっていなかったということであれば
それは存在していなかったということなのかという
存在と認識についての意味や根本規定について一石を投じる一文と言える
Re: (スコア:0)
「せっかく俺が完璧なコードを書いて出荷したのに後から俺の知らないところで脆弱性仕込みやがって」という中の人の怨嗟かもしれない
Re: (スコア:0)
ルーター以外で仕様が変わった（拡張された？）のが影響したとかないのかな？
Re: (スコア:0)
リリース文を疑いを持たずに素直に受け取ればそうだと思う。
無線LANのデータフォーマットは知らんけど、
「拡張ビットが立ってたら拡張領域を読みに行く」
なんて仕様が後から追加されたら、ほとんどの通信機器はガード出来てないんじゃないか？
Re: (スコア:0)
そもそも既知の脆弱性を入れたまま発売とかありえんし存在しなくて当たり前だろと。
Re: (スコア:0)
既知の脆弱性はなかっただろうけど未知の脆弱性はあったんでしょ。
ならば発売した時には脆弱性があったってことじゃないかな。
Re: (スコア:0)
誰もいない森の木が倒れたとき音はするのか、という問題と同じ匂い。誰もまだその存在を認識していない、未知の脆弱性は存在すると言えるのか？
ソフトウェアの脆弱性とは、ソフトウェアの挙動のうち、何らかの基準に従って脆弱性であると判断されるものだが、攻撃手法の進化により、脆弱性として判断される基準も変化する。ある時点の基準では脆弱性としては判断されなかった挙動が、時間がたつと脆弱性として認識されるようになる。基準が変化する前の時点であっても、脆弱性があった、と言うべきなのか？
Re: (スコア:0)
#4511636 [srad.jp]に書いちゃったけど、2020年には脆弱性自体は既知になってた可能性ありそうなんだよね。
この機種に有るよって外部から指摘されるまで放置してただけで。