シスコシステムズは、今月中に無線アクセスポイントとルーター2台からバックドアを削除するファームウェアアップデートをリリースすると約束した。この未公開の機能により、認証されていないリモート攻撃者がデバイスの管理者権限を取得する可能性がある。
この脆弱性は、クリスマス休暇中にセキュリティ研究者のEloi Vanderbeken氏によってLinksys WAG200Gルーター上で発見されました。Vanderbeken氏は、このデバイスがTCPポート32764でリッスンするサービスを持っており、このサービスに接続することでリモートユーザーが認証されていないコマンドをデバイスに送信し、管理者パスワードをリセットできることを発見しました。
リンクシス WAG200G
その後、他のユーザーから、Cisco、Netgear、Belkinなどのメーカーの複数のデバイスに同じバックドアが存在することが報告されました。多くのデバイスでは、この未公開のインターフェースはローカルネットワークまたはワイヤレスネットワークからのみアクセスできますが、一部のデバイスではインターネットからもアクセスできます。
シスコは、WAP4410N ワイヤレスN アクセスポイント、WRVS4400N ワイヤレスN ギガビットセキュリティルーター、および RVS4000 4ポートギガビットセキュリティルーターに脆弱性があることを確認しました。シスコは昨年初めにLinksysのコンシューマー部門をBelkinに売却したため、Linksysルーターに関する責任は負いません。
この脆弱性は、WRVS4400N および RVS4000 ルータの LAN 側、および WAP4410N ワイヤレス アクセス ポイント デバイスのワイヤレス ネットワークからアクセスできるテスト インターフェイスによって発生します。
シスコは金曜日に公開したアドバイザリの中で、「攻撃者はLAN側インターフェースから影響を受けるデバイスにアクセスし、基盤となるオペレーティングシステム上で任意のコマンドを実行することで、この脆弱性を悪用する可能性があります」と述べています。「この脆弱性を悪用することで、攻撃者はデバイスの管理者アカウントのユーザー認証情報にアクセスし、デバイスの設定を読み取ることができます。また、この脆弱性を悪用することで、攻撃者は昇格した権限を使ってデバイス上で任意のコマンドを実行することも可能になります。」
同社は、ファームウェアのアップデートがない場合、この脆弱性を軽減できる既知の回避策は存在しないと指摘した。
サイバー脅威監視組織のSANSインターネット・ストーム・センターは今月初め、インターネット上のTCPポート32764に対するプローブを検出したと警告しており、この脆弱性を狙ったものと思われる。
