脆弱なモノのインターネット

脆弱なモノのインターネットをテーマにした私の小さなタームペーパーの成果です。

概要

本稿は、典型的なIoTデバイスをハッキングすることにより、モノのインターネットがいかに安全でないかを実践的に示すものである。TP-LinkルーターTL-WR902ACにおいて複数の脆弱性が特定され、その中には、認証済みの攻撃者が現在のすべてのTP-Linkルーターでrootシェルを起動し、それらを攻撃者の完全な制御下に置くことを可能にするものも含まれる。関連するCVE-2022-48194は8.8と評価された。この脆弱性がどのように発見され、どのように悪用され得るかは、本稿の一部である。これらの調査結果と他の事例から、モノのインターネットの急速な成長により、より強力な法的規制がなければ、ハッキングされたIoTデバイスのリスクは今後も増加し続けると結論づける。

開示のタイムライン

発見したリモートコード実行（悪意のあるファームウェアの書き込みによるもの）をメーカーに報告しました。以下はその報告のタイムラインです。

TP-Link TL-WR902AC V3 0.9.1以前のファームウェア更新プロセスにおける問題により、認証済みの攻撃者が細工されたファームウェア更新をアップロードすることで、任意のコードを実行したり、サービス拒否（DoS）を引き起こしたりすることが可能になる。

エクスプロイトは、報告した説明とともに /exploits/malicious-firmware-update.py にあります。

• 11月 - タームペーパーを書き始め、このプロセスでセキュリティの脆弱性を発見しました。

• 2022年11月23日 - オンラインフォームを通じてBSIに脆弱性を報告しました。TP-Linkが過去に報告された脆弱性を修正していなかったため、この方法を選びました。

• 2022年12月1日 - BSIが私にさらなる情報を求めたため、この時点で初めてメーカーに脆弱性を報告しました。（当初は、ファームウェアが署名されておらず、簡単に改ざんできると報告するだけで十分だと考えていました。）

• 2022年12月5日 - TP Linkから英語版を求められたため、それにエクスプロイトスクリプトを追加で付け加えました。

• 2022年12月26日 - BSIに現在の状況を問い合わせたところ、翌日に以下の情報を得ました：

  • 2022年12月23日 - BSIがTP-Linkに現在の状況を問い合わせたところ、同社はまだ脆弱性を検証できておらず、会社からの最終回答は1月上旬に予定されていると返答しました。CVEを希望していたため、自分で報告してもよいと助言されました。そのため、この脆弱性がすでに数日前に公開されていたことを知りました：
  • 2022年12月20日 - 同じセキュリティ脆弱性が別のモデルで発見された複数のCVEが公開されました。

• 2022年12月29日 - この脆弱性はすでに公知となっているため、私も自分の研究を公開することにしました。

• 2022年12月30日 - 報告した脆弱性に対して、MITREによってCVE-2022-48194が割り当てられました。

• 2023年1月9日 - このCVEはスコア8.8と評価され、メーカーとしてTP-Linkが割り当てられました。