Sierra Wireless AirLink ALEOS の危険なファイルのアップロードの脆弱性（CVE-2018-4063）

何が起きた

Sierra Wireless の通信機器向けソフト AirLink ALEOS の upload.cgi という機能で、細工した HTTP のリクエストによって、実行できるファイルをウェブサーバーに置かれてしまう弱点が見つかりました。置かれたファイルは外から呼び出せるため、遠隔からプログラムを実行されるおそれがあります。ネットワーク経由で悪用できますが、攻撃者はログイン済みである必要があります。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Sierra Wireless AirLink ES450 FW 4.9.3 が影響を受けるとされています。米国 CISA の制御システム向け勧告では、この脆弱性を含む一連の問題について、ES450 と GX450 は 4.9.4 より前、LS300、GX400、GX440、ES440 は 4.4.9 より前、MP70、MP70E、RV50、RV50X、LX40、LX60 は 4.12 より前の ALEOS が対象とされています。CISA の KEV では、製品がすでにサポート終了の可能性もあるとされています。

何をすればいい

Sierra Wireless の公式の案内を確認し、ALEOS を更新してください。CISA の勧告では、GX450 と ES450 は ALEOS 4.9.4.p09、LS300、GX400、GX440、ES440 は ALEOS 4.4.9、MP70 などは ALEOS 4.12 への更新が案内されています。あわせて、利用者アカウントに強いパスワードを設定し、管理画面 ACEmanager には HTTPS だけで接続するよう案内されています。CISA の KEV では、更新や対策ができない場合は使用をやめるよう求めています。

やることチェックリスト

• ES450 は ALEOS 4.9.4.p09 に更新する
• 利用者アカウントに強いパスワードを設定する
• ACEmanager には HTTPS だけで接続する

用語メモ

ALEOS

Sierra Wireless の AirLink という通信機器（ルーターなど）で動く、専用のソフトです。

ACEmanager

AirLink の機器を設定するための、ブラウザーで開く管理画面です。

HTTPS

ウェブの通信を暗号化して、盗み見や書き換えを防ぐ方式です。