ASUS製ルーターに深刻度の高いRCE脆弱性3件：CVE-2023-39238、CVE-2023-39239、CVE-2023-39240

ASUS製ルーターに深刻度の高いRCE脆弱性3件：CVE-2023-39238、CVE-2023-39239、CVE-2023-39240

ASUSの人気ルーターモデルRT-AX55、RT-AX56U_V2、RT-AC86Uに影響を与える深刻度の高いRCEの脆弱性3件について、台湾のTWCERT/CCが注意喚起。これらはいずれも認証されていない状態で遠隔から悪用することが可能であり、CVSS v3.1 スコアは10点満点中9.8点とかなり高く、悪用が成功すれば、デバイスが脅威アクターに乗っ取られてしまう恐れがあるという。

RCEにつながる恐れのある書式文字列の脆弱性

脆弱性CVE-2023-39238、CVE-2023-39239、CVE-2023-39240はいずれも書式文字列の脆弱性と説明されており、悪用の成功はリモートコード実行やサービス妨害、デバイス上での任意のオペレーションの実行といった行為につながる可能性があるという。影響を受けるのは、ファームウェアのバージョンが3.0.0.4.386_50460のASUS RT-AX55、3.0.0.4.386_50460のRT-AX56U_V2、および3.0.0.4_386_51529のRT-AC86U。

・CVE-2023-39238：iperf関連のAPIモジュール「ser_iperf3_svr.cgi」における入力書式文字列の適切な検証がなされない問題。

・CVE-2023-39239：一般設定機能のAPIにおける入力書式文字列の適切な検証がなされない問題。

・CVE-2023-39240：iperf関連のAPIモジュール「ser_iperf3_cli.cgi」における入力書式文字列の適切な検証がなされない問題。

迅速なパッチ適用を

上記3件の脆弱性に対するパッチは既にリリースされており、各モデルの修正済みファームウェアバージョンは以下の通り。

・RT-AX55：3.0.0.4.386_51948以降

・RT-AX56U_V2：3.0.0.4.386_51948以降

・RT-AC86U：3.0.0.4.386_51915以降

これらのアップデートを適用していないデバイスは攻撃者の標的となり得るため、利用者は可及的速やかに対応を行う必要がある。また、インターネットからアクセスされるのを防ぐため、「WANからの接続を許可」する機能を無効にしておくことも強く推奨されている。

（情報源：BleepingComputer “ASUS routers vulnerable to critical remote code execution flaws”、TWCERT/CC ”ASUS RT-AX55、RT-AX56U_V2、RT-AC86U – Format String – 1”、”ASUS RT-AX55、RT-AX56U_V2、RT-AC86U – Format String – 2”、”ASUS RT-AX55、RT-AX56U_V2、RT-AC86U – Format String – 3”）

9月6日：その他の注目ニュース

Atlas VPNのゼロデイによりユーザーのIPアドレスがサイトオーナーに漏れる恐れ

Help Net Security – September 5, 2023

Atlas VPNが、Linuxユーザーの真のIPアドレスの流出につながり得るゼロデイ脆弱性の存在について認め、パッチの作成に取り組んでいることを明かした。これは、同脆弱性の詳細およびPoCエクスプロイトコードが、ユーザー「Educational-Map-8145」によって4日前にRedditに投稿されていたことを受けての対応。

Atlas VPNはIPアドレスを変更し、接続を暗号化することで、オンラインでのプライベートなブラウジングを保証するVPNソリューションで、Windows、macOS、Linux、Android、iOS、Android TV、Amazon Fire TV向けのアプリが提供されている。今回発見された脆弱性はこのうちLinuxアプリ（最新版であるv1.0.3）に影響を与える。Educational-Map-8145が公開したエクスプロイトコードは、任意のWebサイト上で実行されるとVPNを切断し、ユーザーの真のIPアドレスを開示させるためのリクエストを作成するもので、セキュリティエンジニアChris Partridge氏により同エクスプロイトを使って攻撃を実演する動画も作成されている。

Atlas VPNは、当初Educational-Map-8145からこの脆弱性を報告された時点で即座に対応しなかったことを詫び、今後はより迅速に対応できるようプロセスを見直すと述べている。同社は現在、脆弱性の修正に向け取り組んでおり、パッチが利用可能となり次第ユーザーに通知するとのこと。