やられた！11: 今日のセキュリティスリラーはVxWorksが主役 ― 無数のガジェットのネットワークコードにハイジャックバグが発見される

Wind River 社は、ネットワークやインターネット経由で悪用され、地球上に点在するあらゆる種類の機器を乗っ取られる可能性のある VxWorks の 11 件のセキュリティ脆弱性を修正しました。

このリアルタイム オペレーティング システムは、自動車の電子機器、工場のロボットやコントローラ、航空機や宇宙船、無線ルーター、医療機器、デジタル ディスプレイなど、さまざまなものに利用されています。そのため、脆弱なバージョンの VxWorks を導入し、それがネットワークまたはインターネットに接続されている場合は、必ずこれをチェックする必要があります。

ただし、この一連のバグは主にプリンターやゲートウェイなどに影響を与えると思われるので、指摘しておかなければなりません。

セキュリティ企業Armisが発見した脆弱性は、デバイス内部の情報漏洩、機器のクラッシュ、そして（欠陥の半数以上において）悪意のあるコード実行に悪用される可能性があります。VxWorksは組み込みOSとして20億台のデバイスで動作していると推定されていますが、Armisは実際に影響を受ける可能性のある機器は2億台と見積もっています。Wind RiverはEl Regに対し、推定値としては2億台という数字は高すぎると述べています。

Armis [PDF]によると、本日発表された11件の脆弱性（マーケティング目的でUrgent/11と名付けられている）はすべて、VxWorks TCP/IPスタックであるIPnetに存在するとのことです。このスタックはVxWorks以外のシステムにも存在する可能性がある点にご留意ください。Wind Riverは2006年にInterpeakを買収した際にこのスタックを買収しました。Interpeakは、他のリアルタイムOSメーカーにコードのライセンスを供与していました。

そのため、攻撃者は、LAN経由、または何らかの理由でガジェットが公開されている場合はインターネット経由で、脆弱なデバイスへのネットワークアクセスが必要になります。2006年頃にリリースされたIPnet対応のVxWorksバージョン6.5以降は、VxWorks 7 SR0620を除き、この脆弱性の影響を受けます。VxWorks 7 SR0620は最新ビルドであり、前述の脆弱性を修正するパッチが含まれており、Armisによる脆弱性の発見を受けて7月19日にリリースされました。VxWorks 653やVxWorks Cert Editionなど、安全性認証済みのOSは影響を受けないと言われています。

「それぞれの脆弱性はネットワークスタックの異なる部分に影響を与えるため、VxWorksの異なるバージョンセットにも影響を及ぼします」と、Armisの研究員であるベン・セリ氏、グレゴリー・ヴィシュネポルスキー氏、そしてドール・ザスマン氏は報告書の中で述べています。「URGENT/11は全体として、VxWorksのバージョン6.5以降に影響を与え、各バージョンに少なくとも1つのリモートコード実行脆弱性が存在します。」

悪意のある人物が脆弱な VxWorks デバイスに接続できる場合、6 つの重大な欠陥 (CVE-2019-12256、CVE-2019-12255、CVE-2019-12260、CVE-2019-12261、CVE-2019-12263、CVE-2019-12257) のいずれかを悪用するパケットを送信してリモート コード実行を取得し、ハードウェアを完全に乗っ取る可能性があります。

当然のことながら、エクスプロイトの深刻度はデバイス自体とネットワーク上の位置によって異なります。ファイアウォールやルーターといった外部接続デバイスが乗っ取られ、より大規模な攻撃の足掛かりとなる可能性があります。また、産業用機器などの組み込みデバイスが悪用され、物理的な損害を引き起こす可能性もあります。

さらに、ハッカーは、2 つのバグ (CVE-2019-12258、CVE-2019-12259) を介してサービス拒否を引き起こしたり、情報を漏洩したり (CVE-2019-12265)、論理上の欠陥によってデバイスを改ざんしたり (CVE-2019-12264、CVE-2019-12262) する可能性があります。

Wind Riverは、エクスプロイト対策としてインストール環境のアップデートを推奨していますが、今のところ実環境での報告はありません。これは朗報です。VxWorks搭載機器は通常、重要な機能で常時稼働しており、アップグレードのための突然の停止は最も好ましくないためです。また、ファームウェアアップデートを機器にプッシュするだけでは万全ではありません。新しいビルドは、まず複数回のテストを経る必要があります。

「VxWorksが動作するデバイスを特定するのが難しいことに加え、デバイスメーカーはファームウェアのアップグレードを妥当な時間内に提供するという課題にも直面しています」とArmisの研究者らは指摘する。「医療機器や産業機器など、多くのVxWorksデバイスは、ファームウェアのアップデートをエンドユーザーに提供する前に、徹底的なテストと認証プロセスを経る必要があります。」

Wind Riverの広報担当者はThe Registerに対し、VxWorksには「有効化すれば脆弱性から保護するセキュリティ機能が組み込まれている」と述べた。つまり、リスクのあるデバイスは、非実行スタックなどの防御機能を用いて、エクスプロイトの試みを自動的に阻止できる可能性が高いということだ（もちろん、有効化されている場合）。もちろん、VxWorks搭載機器をネットワーク全体、あるいは外部からファイアウォールで遮断することも可能です。

同社はさらに、脆弱なマシンは「おそらく当社の顧客ベースの小さなサブセットを構成しており、モデム、ルーター、プリンターなど、インターネットに接続された組織ネットワークの境界に位置するエンタープライズデバイスが主に含まれます」と付け加えた。

Wind River の FAQ にさらに詳しい情報が記載されています。®