JVNVU#96100360
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

対象製品は多岐に渡ります。
詳細は各開発者が提供する情報や、Vendor Information for VU#566724 をご確認ください。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。

2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

• 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する
• アクセスを制限する