Nozomi Networksは2022年5月2日(米国時間)、「Nozomi Networks Discovers Unpatched DNS Bug in Popular C Standard Library Putting IoT at Risk」において、多くの組み込み機器やネットワークアプライアンスに、DNSポイズニング攻撃を引き起こすことが可能な脆弱性が存在すると伝えた。対象の脆弱性がまだ修正されていないことから、影響を受ける具体的な機器の公開は控えられている。今後、この脆弱性を悪用したサイバー攻撃が拡大する危険性がある。

  • Nozomi Networks Discovers Unpatched DNS Bug in Popular C Standard Library Putting IoT at Risk

    Nozomi Networks Discovers Unpatched DNS Bug in Popular C Standard Library Putting IoT at Risk

Nozomi Networksは、組み込み機器やネットワークアプライアンスで人気のあるCの標準ライブラリ「uClibc」と「uClibc-ng」のすべてのバージョンに、DNS実装の影響を与える脆弱性が存在することを発見したと指摘。この脆弱性を悪用されると、サイバー攻撃者がターゲットデバイスに対してDNSポイズニング攻撃を実施できる可能性があると説明されている。

uClibcは、Linksys、Netgear、Axisなどの主要ベンダーおよびEmbedded GentooなどのLinuxディストリビューションで使われていることが知られている。uClibc-ngはOpenWRTように設計されたもののフォークで、インフラストラクチャセクタで使用されているルータにおける共通オペレーティングシステムなどで使われている。

Nozomi Networksはこの脆弱性を悪用してサイバー攻撃が可能なデバイスを特定しているものの、ライブラリのメンテナから修正が公開されているために、デバイス情報の開示に関しては否定している。

デバイス情報は公開されていないものの、どのライブラリにどのような脆弱性が存在しているかはすでに公開されており注意が必要。Nozomi Networksが脆弱性を悪用した利用が可能と特定したデバイスはクリティカルなインフラストラクチャで使用されている最新バージョンのファームウェアを搭載したIoTデバイスが含まれているとされており、潜在的に高いリスクを持っているものとみられる。

デバイスが公開されていないため対象を特定することが難しいが、uClibcやuCLibc-ngを使っていると推測されるデバイスを使用している場合、今後公開される可能性がある脆弱性情報に注意するとともに、情報が公開された場合には迅速に対応することが望まれる。