christopher-pace/cve-2023-51073ファームウェア更新サーバー検証の脆弱性（Buffalo LS210D バージョン 1.78-0.03）
Christopher J. Pace および Ryan Miller
Buffalo LS210D は、中小企業や個人向けに設計・販売されているネットワークアタッチドストレージ（NAS）サーバーです。LS210D には、ファームウェア更新をリモートでダウンロードしてインストールする機能が搭載されています。LS210D は、この機能において「中間者攻撃（Adversary in the Middle、AitM）」に対して脆弱です。被害者の上流接続を制御する攻撃者は、更新サーバーに対して誤った DNS 名を提供するか、更新サーバーからのトラフィックを悪意のあるサーバーにリダイレクトすることができます。これにより、root ユーザーとしてのコマンド実行や、マルウェアの直接インストールにつながる可能性があります。
ファイル /etc/init.d/update_notifications.sh は、/www/buffalo/www/dynamic/system/update/BufUpdate.pm にあるファームウェア更新サーバー側スクリプトから呼び出されます。update_notifications.sh 内には、次の行があります：
この xml ファイルを開くと、XML ファイル自体も HTTP のみの接続を指していることが明らかになります：
さらに、この zip ファイルも暗号化されていません。このモデルに関する以前の調査では、パスワードで保護された zip ファイルを含む手動ファームウェア更新ユーティリティのダウンロードが示されていました。ファイル linkstation_series_1.75-0.01.zip にはこれらの保護機能は含まれていません。アーカイブ内には hddrootfs.buffalo.updated ファイルがあり、これには LS120D のルートファイルシステムを含むアーカイブ hddrootfs.buffalo が含まれています。攻撃者はこの zip ファイルを直接表示・変更して、独自のマルウェアを組み込んだり、機密ファイルを読み取ったりすることができます。
攻撃者が AitM 攻撃を実行すると、ルーターは更新されたファームウェアのインストールを喜んで提案します。以下はそのような攻撃の例で、右側の画面には fw_info2.xml に必要な変更、すなわち productId タグへの 0x0000001D の追加と、バージョンタイプタグを被害者のファームウェアバージョン（この場合は 1.78-0.04）より大きいバージョンに増加させる変更が示されています。
