0001みつを ★
2019/12/31(火) 02:55:51.63ID:wU2lqx/H9数多くのRuckus製Wi-Fiルーターに脆弱性の報告
BY ZACK WHITTAKER
2019/12/30
あるセキュリティ研究者が、複数のRuckus（ラッカス）製ワイヤレスルータに複数の脆弱性を発見した。この脆弱性は修正されている。Gal Zror（ギャル・ジル）氏がTechCrunchに語ったところによると、発見された脆弱性はRuckusのルーターの「Unleashed」シリーズに搭載されている、ウェブユーザーインターフェースのソフトウェアに存在するという。
これらの脆弱性は、パスワードを必要とせずにルータにアクセスでき、インターネットに接続されたルータを完全に制御することができる。ルーターはホームネットワークまたはオフィスネットワークと、インターネットとの間のゲートウェイとして機能する。またルータは、そのネットワークへの不正アクセスに対する主要な防御手段でもある。しかし一方で、ルータは脆弱性となる可能性もある。攻撃者がルータのソフトウェアの脆弱性を見つけて利用すると、デバイスを制御して内部ネットワークにアクセスできるようになり、コンピュータやその他のデバイスがハッキングやデータ盗難の危険にさらされる。
ジル氏が発見した3つの脆弱性を悪用すれば、ルーターのRoot特権（最高レベルのアクセス）を取得でき、攻撃者は自由に機器やネットワークにアクセスできるという。3つの脆弱性は悪用の困難さが異なるが、最も簡単な脆弱性は1行のコードのみで悪用できると同氏は述べた。
ルーターを完全に制御することで、攻撃者はネットワークの暗号化されていない通信をすべて見ることができる。さらに攻撃者は、ネットワーク上のユーザーをユーザー名とパスワードを盗むように設計された悪意のあるページに、わからないように誘導することもできる。
ジル氏によると、ルーターの多くはインターネットからアクセスできるため「ボットネット」の有力な候補になるという。これは、攻撃者が脆弱なルーターや、あるいはインターネットに接続されたその他の機器を、強制的に自身の分散型ネットワークに組み込み、悪意ある行為者に制御されるようにすることだ。
インターネット上には、数千もの脆弱なRuckus製ルーターが存在するとジル氏は語る。同氏はドイツで開催された「Chaos Communication Congress」会議で、この発見を発表した。
一方Ruckusによると、「200.7.10.202 .92」ソフトウェアアップデートにて脆弱性は修正されたが、ユーザーは脆弱なデバイスを自分でアップデートする必要があるという。「顧客がネットワークを適切に管理できるように、デバイスがソフトウェアを自動的にダウンロードしてインストールしないように設計されている」と、Ruckusの広報担当のAharon Etengoff（アハロン・エテンゴフ）氏は述べた。「これらの脆弱性を解決するために、顧客とパートナーには最新のファームウェアリリースをできるだけ早く導入することを強く推奨する」と彼は伝えている。
Ruckusは、SmartZone対応デバイスとRuckus Cloudのアクセスポイントには脆弱性はないことを確認した。「顧客にとって非常に重要なのは、旧バージョンのソフトウェアを使用している場合、この単純な攻撃に対して非常に脆弱である可能性があることを認識することだ」と、ジル氏は述べている。
[原文へ]
（翻訳：塚本直樹 Twitter）
