TP-Link Wi-Fi 6 にゼロデイ脆弱性：ダークウェブでエクスプロイトが販売されている？

Exclusive: Resecurity discovered 0-day vulnerability in TP-Link Wi-Fi 6 devices

2021/11/26 SecurityAffairs — 米国ロサンゼルスに拠点を置くサイバーセキュリティ企業 Resecurity は、主に企業向けに販売されている TP-Link TL-XVR1800L (Enterprise AX1800 Dual Band Gigabit Wi-Fi 6 Wireless VPN Router) に存在するゼロデイ脆弱性を発見した。この脆弱性を悪用されると、リモートコード実行 (RCE) が可能となり、デバイスを乗っ取った後に、悪意の目的での使用や、機密データの窃取などを許すことにもなる。また、この脆弱性は、同一シリーズの他のデバイスにも存在する可能性がある。

影響を受けるデバイスは、エンタープライズ・セグメント向けのものであり、Wi-Fi 6 (802.11 ac よりも高速な次世代無線規格) をサポートしている。Wi-Fi 6 は 2019年末に正式に登場し、Wi-Fi 6 対応のハードウェアは 2020年を通してリリースされている。この新規格の主な目的は、オフィス／ショッピング・モール／集合住宅などの、高密度なシナリオにおける面積当たりのスループットを高めることにある。

Resecurity は、TP-Link に対して、この問題を 2021年11月19日に通知し、その翌日に確認書を受け取っている。TP-Linkは、１週間以内にパッチをリリースする予定だと述べていたが、この記事が書かれた11月26日時点ではゼロデイのままである。Resecurity は、ターゲット・デバイス上でリモートコードが実行されるシナリオについて、TP-Link と Proof-of-Concept を共有している。

Resecurity によると、この脆弱性は異常トラフィックのモニタリングにより特定された。このモニタリングは、Resecurity により開発された、一般的な IoT デバイスをエミュレートするハニーポット・センサーのネットワークで構成されたものであり、インターネット上で悪意を探すことが可能とされる。

現時点で進行中の攻撃は、Resecurity の研究者たちが、2021年10月初旬以降に行っている、ネットワークや IoT デバイスを標的とする、脅威アクターの活動を監視しているときに発見されたものだ。注目すべきは、ゼロデイ・エクスプロイトの製品化されたバージョンは、Resecurity の HUNTER により発見されたものであり、ダークウェブの中国語圏セグメントで、TP-Linker として販売されているツールである。

このツールは、安全ではない IoT デバイスを攻撃し、オンライ・ンバンキングからの窃取含む大、規模なトラフィック操作を行っている。TP-Link が製品ラインアップには、以前にも重大な脆弱性が存在していた。それらのバグは、Mirai などの IoT ベース・ボットネットを構築する脅威のアクターにより、DDoS 攻撃などの悪質な活動のために広く利用されている。

IoT デバイスのセキュリティは、サイバー・セキュリティ上の課題であり、企業の外部ネットワークの境界に大きな欠陥をもたらし、攻撃者による侵入と機密データを窃取を許している。昨年は、TP-Link のルーターに膨大な数の脆弱性があることが判明したが、同社が Web サイトでパッチを公開するまでに、１年以上を要してしまった。今年の Pwn2Own Tokyo では、Flashback Team のサイバー・セキュリティ研究者が、TP-Link Archer AC1750 で重大な脆弱性を発見している。

先日の「Pwn2Own Austin 2021 が終了：総額で１億円以上の報奨金が支払われた」という記事にも、TP-Link はターゲットだったと記されていました。それにしても、PoC エクスプロイトがダークウェブで販売されている状況というのは、穏やかではありませんね。関連の情報としては、９月に「Netgear Smart Switches を完全に乗っ取る脆弱性のセットとは？」を、11月には「Netgear の SOHO 向けデバイス群における任意のコード実行の脆弱性が FIX」と、「英国の Sky Router 600万台が 17ヶ月間も乗っ取り攻撃に晒されていた」をポストしています。よろしければ、合わせて ど〜ぞ。