【CVE-2024-49358】ZimaOS 1.2.4にユーザー名列挙の脆弱性、クレデンシャルスタッフィング攻撃のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

ZimaOSのAPIレスポンスにユーザー名列挙の脆弱性
バージョン1.2.4以前の全バージョンで脆弱性が存在
ユーザー名の存在有無によって異なるレスポンスを返す

ZimaOS 1.2.4のユーザー名列挙脆弱性

IceWhaleTech社が開発するZimaOS 1.2.4およびそれ以前のバージョンにおいて、ユーザー名列挙の脆弱性が発見され【CVE-2024-49358】として公開された。この脆弱性は、APIエンドポイント「http:///v1/users/login」において、ユーザー名の存在有無によって異なるレスポンスを返すことで、システム内のユーザー名を列挙できる問題となっている。^[1]

この脆弱性を悪用することで、攻撃者はシステム内に存在するユーザー名を特定し、クレデンシャルスタッフィングや標的型パスワードブルートフォース攻撃などの二次攻撃に利用される可能性が高まることとなった。本稿執筆時点において、パッチ適用済みのバージョンは公開されていない状況だ。

CVSSスコアは5.3（MEDIUM）であり、攻撃元区分はネットワーク、攻撃条件の複雑さは低く、特権レベルは不要とされている。また、ユーザーの関与は不要であり、機密性への影響は限定的だが、完全性と可用性への影響はないと評価されている。

ZimaOS 1.2.4の脆弱性概要

項目	詳細
CVE番号	CVE-2024-49358
影響を受けるバージョン	1.2.4以前の全バージョン
脆弱性のタイプ	ユーザー名列挙（CWE-203）
CVSSスコア	5.3（MEDIUM）
対象API	http:///v1/users/login
現在の対応状況	パッチ未リリース

ユーザー名列挙について

ユーザー名列挙とは、システムに対して様々なユーザー名を試行し、レスポンスの違いからアカウントの存在有無を特定する攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

システムの応答の違いを利用してユーザーの存在を確認
二次攻撃の準備段階として使用される
認証システムの設計上の欠陥により発生

ZimaOSで発見された脆弱性では、ログインAPIのレスポンスがユーザーの存在有無によって異なる挙動を示すことで、攻撃者によるユーザー名の列挙を可能にしている。この情報は、クレデンシャルスタッフィングやパスワードブルートフォース攻撃などの二次攻撃に悪用される可能性が高く、早急な対策が必要とされている。

ZimaOSの脆弱性に関する考察

ZimaOSのAPIエンドポイントにおける脆弱性は、システムの認証メカニズムの設計における基本的なセキュリティ考慮の欠如を示している。特にログイン試行時のレスポンスメッセージの統一化という基本的なセキュリティプラクティスが実装されていないことは、今後のセキュリティ設計において重要な教訓となるだろう。

今後のセキュリティアップデートでは、ログイン試行に対するレスポンスの統一化だけでなく、レート制限やアカウントロックアウトなどの追加的な保護機能の実装も検討する必要がある。特にIoTデバイス向けOSとしてのZimaOSの性質上、セキュリティ機能の強化は最優先事項として取り組むべきだ。

長期的な観点からは、セキュリティテストの強化とコードレビューのプロセスの見直しが不可欠となっている。特にAPIエンドポイントのセキュリティ設計において、OWASP Top 10などのセキュリティガイドラインに基づいた実装を徹底することで、同様の脆弱性の再発を防ぐことが期待される。