D-Link、Combaネットワーク機器のパスワードが全世界に公開される可能性がある

D-Link 社と Comba 社の DSL モデムと Wi-Fi ルーターで、所有者のパスワードが公開されていることが判明しました。

Trustwave SpiderLabs のセキュリティ研究者、サイモン・ケニン氏は、ユーザーの認証情報が攻撃者にアクセスできる 5 つのバグを発見したと自称しています。

D-Link製品については、DSL-2875ALおよびDSL-2877ALワイヤレスADSLモデム/ルーターのファームウェアに2つのバグが発見されました。1つ目のバグは、DSL-2875AL内のユーザーパスワードを含む設定ファイルに関するもので、閲覧に認証は必要ありません。デバイスの設定に応じて、ローカルネットワークまたはインターネット経由でWebベースの管理コンソールにアクセスできれば問題ありません。

「このファイルは、ウェブベースの管理IPアドレスにアクセスできる人なら誰でもアクセスでき、認証は一切不要です」と、Trustwaveのカール・シグラー氏は火曜日に述べた。「ファイルへのパスはhttps://[ルーターのIPアドレス]/romfile.cfgで、パスワードはそこに平文で保存されています。」

2つ目の欠陥は、2857ALと2877ALの両方のモデルに存在します。これは「欠陥」というより、セキュリティ上の明らかな見落としです。ルーターのログインページのソースコード（これも、内蔵Web UIサーバーにアクセスできる人なら誰でもアクセスできます）には、ユーザーのISPユーザー名とパスワードが平文で含まれています。これは、ブラウザウィンドウで「ソースの表示」オプションを選択するだけで表示できます。

両モデルとも修正がリリースされました。2877ALモデムをお持ちの方はファームウェア1.00.20AU 20180327にアップデートしてください。2875ALをお持ちの方は、少なくともバージョン1.00.08AU 20161011にアップデートしてください。

The RegisterはD-Linkにコメントを求めて連絡を取ろうとしたが、返答は得られなかった。Trustwaveも状況は変わらず、ルーター業界が対策を講じるまで数ヶ月待った後、研究者らがD-Linkに調査結果を公表すると伝えた後で、ようやくバグが修正済みとしてリストアップされたと述べている。

「これらの調査結果に対するD-Linkの対応は混乱を招き、残念ながらTrustwave SpiderLabsのような第三者研究者からのセキュリティ問題を受け入れる態勢が整っていない組織にとっては非常に典型的なものだった」とシグラー氏は説明した。

当初、これらの調査結果の受領とエスカレーションを確認した回答の後、彼らは、当社の責任ある情報開示ポリシーに定められた90日間の期間内に、研究開発グループに問題をエスカレーションできないと主張しました。当社はその期間をかなり長く延長しましたが、最終的に彼らは全く対応しなくなりました。

Combaでは、AC2400 Wi-FiアクセスコントローラとAP2600-Iアクセスポイントに3つの脆弱性が見つかりました。AC2400に存在する最初の脆弱性では、MD5ハッシュ化されたパスワードが平文でファイルに保存されており、デバイスのIPアドレスを知っている人なら誰でもアクセスできます。

一方、AP2600-I は、ログイン Web ページのソースと構成ファイルの両方に MD5 ハッシュ パスワードを保存します。どちらも、ルーターの IP アドレスを知っている人なら誰でもアクセスできます。

The RegisterはCombaからの返答をまだ受け取っていません。Trustwaveも同様で、本稿執筆時点では修正プログラムは公開されていないようです。®