Sierra Wireless の 21件の脆弱性が FIX：86,000台の脆弱なルーターがインターネットに露出

21 Vulnerabilities in Sierra Wireless Routers Could Expose Critical Infrastructure to Attacks

2023/12/06 SecurityWeek — Sierra Wireless の一部のセルラー・ルーターに存在する 21件の脆弱性により、重要インフラ分野などの組織に重大なリスクが生じる可能性があると、ネットワーク・セキュリティおよびリスク管理企業の Forescout が述べている。この “Sierra:21” と称される脆弱性は、行政／電力／水道／医療／製造／輸送／小売などの分野で、ローカル・ネットワークを Web に接続する際に多用される Sierra Wireless AirLink OT／IoT ルーターに存在するものであり、Forescout の研究者たちにより発見されたものだ。

一連の脆弱性において、１件は Critical で９件は High と評価されている。具体的に言うと、リモートコード実行／不正アクセス／認証バイパス／サービス拒否 (DoS)／クロス・サイト・スクリプティング (XSS) などの欠陥が含まれという。

Forescout によると、これらの脆弱性の悪用に成功した攻撃者が、悪意のコードを注入することにより、認証情報の窃取やルーターの不正制御といった攻撃を仕掛ける可能性があるという。さらに攻撃者は、標的とするデバイスへの永続的なアクセスを獲得し、重要なネットワークへのエントリポイントとして悪用し続けることも可能になる。そのため、一連の脆弱性は、スパイ活動などを含む、各種の攻撃において有用だとされる。

Forescout は、これらの脆弱性を悪用するハッカーが、医療施設の患者および職員のデバイスや、製造工場の ICS を侵害するという、理論的な攻撃シナリオを説明している。

また、このサイバー・セキュリティ企業は、インターネットに露出している 86,000台の脆弱なルーターを発見している。2019年以降に公表された、既知の脆弱性に対するパッチが適用されているのは、そのうちの 10％ 未満に過ぎないようだ。また、インターネットに露出するデバイスの多くは、耐用年数を迎え、もはやパッチを受け取っていないという。

今回び調査で確認された脆弱性のうち８件は、MP70／RV50x／RV55／LX40／LX60／ ES450／GX450 など AirLink ルーターに搭載されている、ALEOS オペレーティング・システムに固有のものである。11月28日に Sierra は、一連の脆弱性に対するパッチを提供し、顧客に通知するためのアドバイザリを発表した。

一連の脆弱性が影響を及ぼすのは、ALEOS 4.16 以下のバージョンであり、2023年10月にリリースされた ALEOS 4.17 でパッチが適用されている。また、同社が、それらのデバイスがインターネットに露出しないように運用ほしいと、推奨していることも注目に値する。

Forescout が発見した他の脆弱性は、他のベンダーも使用しているオープンソースの captive portal engine である OpenNDS に影響を与えるものだ。

Forescout は、「Sierra Wireless はパッチを、リリースするまでに 128～133日を要した。昨年に公開された、OT:Icefall の脆弱性では 178日が費やされ、Project Memoria の脆弱性では 100日が費やされた」と、SecurityWeek に述べている。

Sierra Wireless AirLink OT／IoT ルーターで、21件の脆弱性が発見されたとのことです。産業用のネットワーク・デバイスであり、インターネットに露出しているものが沢山あるようで、その影響が心配されます。2023/05/15 には、「産業用 ワイヤレス・ルーターに深刻な脆弱性：Sierra／Teltonika／InHand の問題とは？」という記事がポストされています。日本国内で、どれくらい運用されているのか、そのあたりの見当がつきませんが、ご利用のチームは、御用心ください。