研究者がCox製モデムの欠陥を発見、影響は数百万台に及んだ可能性

6月4日：サイバーセキュリティ関連ニュース

研究者がCox製モデムの欠陥を発見、影響は数百万台に及んだ可能性

The Hacker News – Jun 03, 2024

セキュリティ研究者のSam Curry氏が3日に発表したレポートで、Cox製モデムに認可バイパスの欠陥が存在していたことが明らかにされた。現在ではパッチが適用されているものの、この脆弱性はデバイスへの不正アクセスや有害なコマンドを実行する起点として悪用される可能性があったという。

Curry氏の調査の起点となったのは、Coxのサポート担当者は顧客のデバイスの設定をリモートで制御・更新可能であるという事実。TR-069というプロトコルを使うことで、同社のようなISPは例えば顧客デバイスのWi-Fiパスワードを変更したり、接続されている端末を確認したりすることができる。Curry氏はその際にサポート担当者が用いるツールに着目して調査を進めた結果、今回の問題に結び付く、露出したAPIエンドポイントをおよそ700件特定したのだという。

同氏のレポートには次のように記された。「この一連の脆弱性は、完全に外部の攻撃者が前提条件なしにコマンドを実行し、数百万台のモデムの設定を変更するだけでなく、あらゆるビジネス顧客のPIIにアクセスし、基本的にISP（インターネットサービスプロバイダー）のサポートチームと同じ権限を取得する方法を示していた」

この問題は2024年3月4日に責任ある開示が行われた後、24時間以内にCoxによって対処されており、実際に悪用された証拠は見つかっていない。Curry氏は「ISPが密かに顧客のデバイスにほぼ無制限でアクセスできる状態だったことは大きな驚きだった」と付け加えた。同氏は以前、異なる16社が製造した数百万台の車両に影響を与える複数の脆弱性も公開している。

CVE-2024-29415：人気Node.jsパッケージ「node-ip」で多数ユーザーがSSRF攻撃受ける恐れ

Securityonline[.]info –  JUNE 3, 2024

人気のnpmパッケージ「node-ip」に、セキュリティ上の重大な脆弱性CVE-2024-29415が見つかった。CVE-2024-29415は、同パッケージが特定のIPアドレスを分類する際に使うisPublic()関数に存在する、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性。この関数が一部のプライベートIPアドレスを誤ってパブリックに分類することで、SSRF攻撃を受けやすくなるという。攻撃者は同脆弱性の悪用に成功すると、このパッケージを利用して内部システムに不正アクセスできるようになる可能性がある。

影響を受けるのは、node-ipのバージョン1.1.9と2.0.1。

3日時点で、オリジナルのパッケージに対して公式なパッチは適用されていないが、同パッケージのGitHubリポジトリ上のissue #144で、提案されたパッチを入手できる。

node-ipのユーザーはより安全で、盛んにメンテナンスが行われている代替パッケージに移行することを強く推奨されている。また、同パッケージの利用を継続せざるを得ないユーザーについては、コードベースを徹底的に見直すことが極めて重要とのこと。このほかにも、OWASP Cheat Sheetで概説されているプラクティスに従うことで、さらなる対策を行うことができるという。