JVNVU#99850969
OpenELEC と RasPlex に root の SSH パスワードがハードコードされている問題

OpenELEC およびその派生製品では、ハードコードされた root 権限のパスワードを使用しており、デフォルトの設定で root による SSH 接続が有効になっています。

• OpenELEC
• RasPlex

認証情報 (パスワード) がハードコードされている問題 (CWE-259)
OpenELEC は、ハードコードされた root 権限のパスワードを使用しています。ファイルシステムの root パーティションは読込み専用 (read-only) のため、一度インストールしてしまうと、その後、ユーザはパスワードを変更することができません。さらに、機器への SSH 接続がデフォルトで有効になっています。

RasPlex は OpenELEC をベースにした製品のため、OpenELEC と同様の問題を抱えています。

RasPlex は次のように述べています。

"The root filesystem is read only (squashfs). This prevents the ability to change the root password, but also prevents an attacker from modifying the filesystem.
root ファイルシステムは読込み専用 (SquashFS) です。そのため、root パスワードを変更することはできませんが、それと同時に、攻撃者がファイルシステムを改変することもできません。"

遠隔の攻撃者によって、当該機器に root 権限でアクセスされる可能性があります。

2016年2月3日現在、CERT/CC ではこの問題を完全に解決できる方法を把握していません。
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

パスワード認証による SSH 接続を無効にする
SSH 接続におけるパスワード認証を無効にし、鍵認証を有効にしてください。

RasPlex は次のように述べています。

"users can simply disable SSH via the dialog if they are worried about being compromised.
機器への侵害を懸念するユーザは、単純に SSH を無効にすることができます。"

異なるパスワードを使用してビルドする
製品開発者は、ソースコードから OpenELEC または RasPlex のディストリビューションをビルドすることができ、その際に root パスワードを変更可能です。それでも、パスワードがハードコードされていることに変わりはなく、ユーザはさらに攻撃を受ける可能性があります。また、パスワードの変更のためには再度ビルドし、機器に適用する必要があります。

ネットワークアクセスを制限する
ファイアウォールなどを使用して、信頼できるホスト、ネットワーク、サービスのみが機器にアクセスできるよう設定してください。