NTT東日本製ホームゲートウェイに脆弱性、WAN側からの設定画面アクセスが可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
NTT東日本製ホームゲートウェイの脆弱性発見とその影響
NTT東日本製ホームゲートウェイの脆弱性まとめ
CVSSについて
NTT東日本製ホームゲートウェイの脆弱性に関する考察
参考サイト

記事の要約

NTT東日本製ホームゲートウェイに脆弱性
WAN側からの設定画面アクセスが可能に
ファームウェアアップデートで対策を推奨

NTT東日本製ホームゲートウェイの脆弱性発見とその影響

東日本電信電話株式会社が提供する複数のホームゲートウェイ/ひかり電話ルータにアクセス制限不備の脆弱性が発見された。この脆弱性は情報セキュリティ早期警戒パートナーシップに基づき報告され、JPCERT/CCが開発者との調整を行った。CVSSによる深刻度基本値は5.3（警告）とされており、攻撃元区分はネットワーク、攻撃条件の複雑さは低いと評価されている。^[1]

影響を受けるシステムには、ひかり電話ルータPR-400MI、RT-400MI、RV-440MIのファームウェアVer.09.00.0015およびそれ以前のバージョンが含まれる。また、ホームゲートウェイ/ひかり電話ルータPR-600MI、RX-600MI、PR-500MI、RS-500MI、RT-500MIの特定バージョンも影響を受ける。この脆弱性により、当該製品のWAN側IPv6アドレスを特定した攻撃者によってWAN側から設定画面にアクセスされる可能性がある。

対策として、東日本電信電話株式会社は影響を受ける製品のファームウェアを最新版にアップデートすることを推奨している。ユーザーは開発者が提供する情報をもとに、速やかにファームウェアのアップデートを行うべきだ。この脆弱性は、CVE-2024-47044として識別されており、CWEによる脆弱性タイプはその他（CWE-Other）に分類されている。

NTT東日本製ホームゲートウェイの脆弱性まとめ

項目	詳細
影響を受ける製品	PR-400MI、RT-400MI、RV-440MI、PR-600MI、RX-600MI、PR-500MI、RS-500MI、RT-500MI
脆弱性の種類	アクセス制限不備（CWE-451）
CVSS基本値	5.3（警告）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
対策方法	ファームウェアの最新版へのアップデート

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標だ。主な特徴として以下のような点が挙げられる。

0.0から10.0までのスコアで脆弱性の重大度を表現
攻撃の容易さや影響範囲など複数の要素を考慮
ベースメトリクス、時間メトリクス、環境メトリクスの3つの指標で構成

本件のNTT東日本製ホームゲートウェイの脆弱性では、CVSSv3による深刻度基本値が5.3と評価されている。この評価は、攻撃元区分がネットワークであり、攻撃条件の複雑さが低いことを示している。また、攻撃に必要な特権レベルは不要で、利用者の関与も不要とされているが、影響の想定範囲に変更はないとされている。

NTT東日本製ホームゲートウェイの脆弱性に関する考察

NTT東日本製ホームゲートウェイの脆弱性が発見されたことは、ネットワーク機器のセキュリティ管理の重要性を改めて浮き彫りにした。特に、WAN側からの設定画面アクセスが可能になるという点は、潜在的に深刻な影響を及ぼす可能性がある。この脆弱性を悪用されれば、攻撃者がルータの設定を変更し、ネットワークトラフィックの盗聴や改ざんを行う危険性があるだろう。

今後の課題として、IoT機器やネットワーク機器のセキュリティ設計の強化が挙げられる。特に、初期設定の段階でより強固なアクセス制限を実装することや、定期的なセキュリティ監査を行うことが重要だ。また、ファームウェアの自動更新機能の実装や、ユーザーへのセキュリティ啓発も効果的な対策になるだろう。

長期的には、ネットワーク機器メーカーとセキュリティ研究者のさらなる協力が望まれる。脆弱性の早期発見と迅速な対応を可能にするためには、バグバウンティプログラムの拡充や、オープンソースコミュニティとの連携強化が有効だ。また、AI技術を活用した自動脆弱性検出システムの開発など、新たな技術の導入も期待される。