グローバル・パッチの重要性：VxWorksの脆弱性が数百万台のデバイスを脅かす

While VxWorks isn't exactly a household name to the average consumer, this software product inevitably benefits many people just like you and me, each and every day. As the world's most popular real-time operating system (RTOS), it is the workhorse we (by proxy) rely on to power enterprise networking and firewalls, aerospace interfaces, industrial equipment, and even some medical devices, just to name a few applications of its widespread use.

そして今、数億、あるいは数十億台にのぼるこれらのデバイスが、少なくとも11個の脆弱性によって危険にさらされている可能性が浮上しています。Wind River社のチーフセキュリティアーキテクトであるArlen Baker氏は、SearchSecurityの記事の中で、正確な影響範囲は未確認であり、そこまで大規模ではないとの見解を示しています。しかし、データ侵害や攻撃が日常的に発生している現状において、今回の事態は深刻です。確認された欠陥は悪用が比較的容易であり、ネットワークパケットを送信するだけで攻撃者が遠隔からデバイスを制御できてしまうという、極めて危険な状態にあります。

Wind River社は当然ながら、影響を受ける顧客や関係者に向けて一連の修正プログラムやパッチをリリースしています。問題は、パッチを適用すべきデバイスの数が膨大であることです。まるでサノスが指を鳴らして世界を終わらせるかのように、必然的に多くのデバイスが長期間パッチ未適用のまま、脆弱な状態に置かれることになるでしょう。

この巨大な発見の背後には、セキュリティ企業であるArmisの存在があります。彼らはこの脆弱性をURGENT/11と名付けました。複数の経路から容易に攻撃が可能であり、広範囲に感染が拡大する可能性があることから、極めて深刻な事態であると指摘しています。MRIスキャナーやVoIP製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを動かすソフトウェアにワームを仕込み、展開することは十分に可能です。

今、パニックになるべきでしょうか？

セキュリティ意識の向上を人生の重要な使命としている私にとって、日常的に潜在的なセキュリティ問題を目にすることは珍しくありません。もしパニックに陥っていたら、一日の大半を混乱の中で過ごすことになってしまうでしょう（結局のところ、私はパニックになるよりも、教育やバグ修正に取り組む方が有意義だと考えています！）。しかし、URGENT/11が明らかにした範囲は非常に恐ろしいものです。発見された11の脆弱性のうち、6つは「致命的」と見なされています。The Hacker Newsが指摘するように、これらの欠陥はバージョン6.5以降のVxWorksを搭載したデバイスに存在しており（VxWorks 653やVxWorks Cert Editionなど、認証用に設計されたバージョンを除く）、重要な技術が10年以上もデバイス乗っ取り攻撃の脅威にさらされていたことを意味します。すべてのデバイスが11個すべての欠陥に対して脆弱なわけではなく、攻撃者が同じLABサブネット内にいる場合にのみ悪用可能なものもありますが、平凡なハッカーであっても、わずかな隙さえあれば侵入は可能です。

重要な点として、Wind River社は迅速に行動し、問題の緩和に向けた詳細なアドバイスを提供しています。Armis社も同様です。VxWorks RTOSがこれほど広く採用されているのは、その信頼性の高さと、ソフトウェアの安全性に関する厳しい基準を満たしているからであり、通常、バグバウンティハンターがこのOSを標的にすることはあまりありません。しかし、セキュリティ企業やWind River社ができることには限界があります。パッチをダウンロードし、セキュリティ上の助言に従い、自らのデバイスを強化するのはエンドユーザーの責任であり、そこに難しさがあります。

今すぐパニックになる必要はないかもしれませんが、この難題を解決するには、関係者全員の協力が不可欠です。

URGENT/11の脆弱性について

現時点で、バージョン6.5以降のVxWorks TCP/IP IPnetスタックに接続されているデバイスは、URGENT/11の少なくとも1つ以上の影響を受ける可能性があります。（Wind River社によるCVEの全リストはこちらをご覧ください）。

これらの欠陥の多くは、リモートコード実行（RCE）やサービス拒否（DoS）攻撃を可能にするものであり、一部は情報漏洩やビジネスロジックの問題にもつながります。特にリモートコード実行は、エンドユーザーの操作なしで攻撃者がデバイスを制御できてしまうため、非常に深刻な問題です。ユーザーが不審なリンクをクリックしたり、ファイルをダウンロードしたり、個人情報を入力したりする必要すらありません。これにより、VxWorksデバイスは「ワーム化」しやすく、攻撃が自動的に拡散するリスクを孕んでいます。EternalBlueによるWannaCryワームを覚えていますか？URGENT/11には、それと同等、あるいはそれ以上に壊滅的な被害を世界にもたらす可能性があるのです。

私たちに何ができるでしょうか？

執筆時点では、URGENT/11がもたらす結果はまだ未知数です。メディアを通じて業界全体に周知されており、Wind River社も影響を受ける人々へのサポートを明確に行っています。今後数ヶ月の間に、攻撃者がこれらの既知の欠陥を悪用するかどうかが明らかになるでしょう。しかし、現時点で最も重要な対策は、提供されている数多くのアドバイスに従い、関連するデバイスにパッチを適用することです。

長期的な使命は変わりません。誰もがソフトウェアセキュリティの向上に取り組む必要があります。URGENT/11のCVEは、一般的に言って、あまりにも簡単に侵入を許してしまうバックドアであり、長年発見されなかったという事実は、業界全体のセキュリティに対する関心と意識が依然として低いことを物語っています。

すべての開発者には、自分自身の役割を果たすチャンスがあります。そのためには、開発の初期段階からセキュアなコードを書くための学習とサポートが必要です。AppSecから経営層に至るまで、周囲の影響力のあるチームが連携することで、ビジネスにおけるあらゆるソフトウェアの接点で、健全なセキュリティ文化を育むことができます。

あなたのセキュリティ意識を試してみませんか？私たちのゲーミフィケーションプラットフォームでは、URGENT/11で発見されたものに近い、実践的なコードチャレンジに挑戦できます。ぜひ試して、自分のスキルを確認してみてください。

• ipdhcpcにおけるDHCP Offer/ACK解析のヒープオーバーフロー (CVE-2019-12257)
  メモリ破損 - ヒープオーバーフロー
• 不正なTCPオプションによるTCP接続のDoS (CVE-2019-12258)
  トランスポート層保護の不備 - 機密情報の保護されていない転送
• ipdhcpc DHCPクライアントによるIPv4割り当ての論理的欠陥 (CVE-2019-12264)
  ビジネスロジックの欠陥
• IGMP解析におけるNULLポインタ参照によるDoS (CVE-2019-12259)
  メモリ破損 - NULLポインタ参照
• IGMPv3固有のメンバーシップレポートによるIGMP情報漏洩 (CVE-2019-12265)
  情報漏洩 - 機密データの露出