このウェブページのスクリーンショットから、以下の脆弱性情報に関する重要なデータを取得できます： 影響を受けるデバイスとファームウェア - Ubee EVW3226 モデム/ルーター - ファームウェアバージョン：1.0.20 - プロダクトページ：http://www.ubeeinteractive.com/products/cable/evw3226 脆弱性詳細 - 不適切なセッション管理 - 管理インターフェースはCookieを使用せず、管理者としてログインするとIPアドレスが保存され、同じIPを使用する誰もが管理インターフェースにアクセスできるようになります。 - ローカルファイルインクルード (LFI) - は パラメータを使用して任意の ファイルを読み取ることができ、ディレクトリトラバーサルのリスクがあります。 - POC例：http:///cgi-bin/setup.cgi?gonext=./www/main2 - バックアップファイルの暗号化欠如 - バックアップファイルはパスワードで暗号化される必要がありますが、実際の暗号化処理は実行されていません。 - バックアップファイルのパスワードは、標準的なtgzファイルであり、単純なヘッダーを持つこのファイル内に平文で保存されています。 - バックアップファイルの漏洩 - ユーザーがバックアップファイルをリクエストすると、ダウンロード用にファイルがwwwのルートをコピーされますが、ダウンロード後にルートディレクトリから削除されません。 - バックアップファイルのダウンロードに対するセッションチェックがないため、攻撃者は次回再起動するまでLANからバックアップファイルをダウンロードできます。 - POC例：http:///Configuration_file.cfg - 認証回避（バックドア） - HTMLリクエストに パラメータが含まれている場合、Webインターフェースは認証を回避します。 - このとき有効なセッションが作成され、攻撃者はデバイスに対する完全な制御権を取得できます。 - POC例：http:///cgi-bin/setup.cgi?factoryBypass=1 - 任意のコード実行 - 設定ファイル復旧機能は圧縮されたtarファイルを受け取り、 フォルダに展開します。 - tarファイルには、展開先フォルダの外側を指すシンボリックリンクを含めることができます。 - シンボリックリンクと、そのリンクフォルダを指す設定ファイルを含むファイルを作成することで、攻撃者はバックアップフォルダからファイルシステム内の任意のファイルに書き込み、上書きすることができます。 - wwwディレクトリは起動時に書き込み可能なファイルシステム（ 下）にコピーされるため、攻撃者はroot権限で実行される任意のコードを含む新しいcgiスクリプトを挿入できます。 - デフォルトSSIDとパスワードの計算可能性 - デフォルトのSSIDとパスワードはMACアドレスのみから派生します。 - デバイスのMACアドレスはWi-Fiを通じてブロードキャストされるため、デフォルトパスワードは容易に計算できます。 - コード実行と工場出荷時設定リセットの回避を組み合わせることで、Ubeeルーターゾンビネットワークの展開も容易に行えます。 - 設定復旧時のバッファオーバーフロー - 設定復旧プロセス中、バックアップファイルのパスワードが ファイルから読み取られます。 - パスワードが十分に大きい場合（65536バイト超）、ファイル内容がスタックベースのローカル変数に を使用して読み込まれるため、スタックベースのバッファオーバーフローが発生します。 - このスタックベースのバッファオーバーフローを利用することで、認証なしでroot権限を持つ任意のコードを実行できます。 - 設定ファイルリクエスト時のバッファオーバーフロー - Webインターフェースは、URLに という文字列が含まれているかをチェックすることで、設定ファイルダウンロードリクエストを識別します。 - この文字列が見つかった場合、URL全体がスタックベースのバッファにコピーされ、バッファオーバーフローにつながる可能性があります。 - このスタックベースのバッファオーバーフローを利用することで、認証なしでroot権限を持つ任意のコードを実行できます。 - POC例：http://192.168.0.1/aaaaaaaa...（'a'文字65537個） - 次ファイル名におけるバッファオーバーフロー - POSTリクエスト内の 変数は、cgiスクリプトによってロードされるべきHTMLファイルを指定します。 - 変数が十分に大きい場合（6512バイト超）、スタックベースのバッファオーバーフローが発生し、認証なしでroot権限を持つ任意のコードを実行するために利用できます。 - デバイス内部のUPC Wi-Free通信の盗聴可能性 - UPC Wi-Free通信はデバイス内で適切に分離されていないため、デバイスのrootアクセス権限を取得すると、すべての通信を盗聴できます。 タイムライン - 2015年6月24日：UPC MagyarorszagのCTOに対してUbeeルーターの問題を報告。 - その他の重要な日付やイベントの詳細については、ページ上の完全なタイムラインを参照してください。 POCスクリプト - 以下の問題を実証するためにPOCスクリプトが利用可能です： - 認証回避 - 認証不要のバックアップファイルへのアクセス - バックアップファイルパスワードの漏洩 - コード実行 - 上記の問題を実証し、これらを組み合わせてモデムに対する完全なアクセス権を取得する方法を示すビデオデモはこちらでご覧ください。 推奨対策 - ファームウェアのアップデートはISPのみが行えるため、ユーザーにはWi-Fiパスワードの変更を推奨します。 謝辞 - 本脆弱性はSEARCH-LAB Ltd.（www.search-lab.hu）のGergely Eberhardtによって発見・研究されました。 参照資料 [1] http://www.search-lab.hu/advisories/ [2] https://youtu.be/cBclw7uUuO4 [3] https://github.com/ebux/Cable-modems/tree/master/Ubee