Realtek SDKを使用している世界数十万台のデバイスがIoTボットネットから攻撃を受けていることが発覚：影響を受ける機器一覧

現在、少なくとも65社のスマートデバイスに搭載されているRealtek製チップセットに存在する危険な脆弱性が、DDoSボットネットグループの攻撃を受けていることがわかりました。

この攻撃は、セキュリティ企業であるIoT Inspector社がブログでこの脆弱性の詳細を公開してからわずか3日後に始まったとされています。

Multiple Attempts to Exploit Realtek Vulnerabilities Discovered by Our Researchers - SAM Seamless Network

An overview of device vulnerabilities, cyber threats, and IoT security recommendations based on data from 2M networks and 70M devices.

securingsam.com

2021年8月16日、Realtekチップセットの一部として配布されているソフトウェアSDKに複数の脆弱性があることが、IoT Inspector Research Labによって公開されました。この脆弱性により、攻撃者は影響を受けたデバイスを完全に侵害し、制御することができます。

公開からわずか2日後の昨日、当社のホームセキュリティソリューション「Secure Home」は、これらの脆弱性を悪用してマルウェア「Mirai」の亜種を拡散しようとする試みを検知しました。

CVE-2021-35395と名付けられたこの脆弱性は、IoT Inspector社の研究者が、複数のRealtek製チップセット（SoC）に同梱されているソフトウェア開発キット（SDK）に見つけた4つの問題の一部です。

https://www.iot-inspector.com/blog/advisory-multiple-issues-realtek-sdk-iot-supply-chain/

IoT Inspector社のファームウェア解析プラットフォームを利用して、これらのバイナリに対して脆弱性調査を行ったところ、コマンドインジェクションからメモリ破壊まで、UPnP、HTTP（管理用Webインターフェイス）、Realtekのカスタムネットワークサービスに影響を与える10数個の脆弱性を確認しました。

これらの脆弱性を利用することで、認証されていない遠隔地の攻撃者は、対象となるデバイスを完全に侵害し、最高レベルの権限で任意のコードを実行することができます。

これらのチップは、Realtekが製造していますが他社に出荷され、他社はそれをOEMとして自社の機器の基本的なシステムオンチップ（SoC）ボードとして使用し、RealtekのSDKはコンフィギュレータや自社のファームウェアの基盤として使用しています。

IoT Inspector社によると、これらのチップを搭載し脆弱なSDKを使用しているデバイスは、少なくとも65の異なるベンダーから200以上の異なるモデルが提供されているとのことです。

インターネットに接続された何十万ものデバイスを考えると、脆弱性のあるアイテムのリストにはルーター、ネットワークゲートウェイ、Wi-Fiリピータ、IPカメラ、スマート照明、さらにはインターネットに接続された遊具なども含まれます。

IoT Inspector社の調査チームが発見した4つの問題点のうち、CVSSv3の深刻度評価で10点満点中9.8点と最も高い深刻度評価を受けたのはCVE-2021-35395の脆弱性です。

調査チームによると、この脆弱性はSDKやデバイスの設定に使用されるWebコンソールに存在し、リモートの攻撃者が不正なURLのWebパラメータを介してこのデバイスに接続し、認証を回避して最高権限で悪意のあるコードを実行し、デバイスを効果的に乗っ取ることができるものになっています。

IoT Inspector社が調査結果を発表する前に、Realtek社はパッチをリリースしていましたが、デバイスベンダーがセキュリティアップデートをそれぞれの顧客に展開するには時間的余裕がないように見られます。

https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2021-35392_35395.pdf

Realtek Jungle SDKを搭載した一部のルーターでは、一部のサービスにメモリ破壊の脆弱性があり、サービスが停止する可能性があります。
サービスにメモリ破壊の脆弱性があり、サービスの停止を引き起こす可能性があります。

つまり、これらのデバイスの大部分は現在も古いファームウェア（および古いRealtek SDK）を実行しており、攻撃にさらされていることを意味しています。

SAM社によると、今回の攻撃はArcadyanベースのファームウェアを搭載した数百万台のルーターに発生した同様の脆弱性を悪用したのと同じMiraiベースのボットネットから発生しているとしています。

脆弱性のある機器の一覧は以下の通りです。