今回の脆弱性の概要(IPAの情報から引用)
今回の脆弱性の概要(IPAの情報から引用)
[画像のクリックで拡大表示]

 国内のセキュリティ組織である情報処理推進機構(IPA)セキュリティセンターとJPCERTコーディネーションセンター(JPCERT/CC)は2008年3月18日、アイ・オー・データ機器の無線LANルーターに危険な脆弱(ぜいじゃく)性が見つかったとして注意を呼びかけた。設定を勝手に変更されて、ファーミング詐欺などに悪用される恐れがある。対象製品のユーザーは、今すぐ対策を施す必要がある。

 影響を受けるのは、アイ・オー・データ機器製の無線LANルーター「WN-APG/R」「WN-APG/R-S」「WN-WAPG/R」「WN-WAPG/R-S」。これらの製品は、Webブラウザーから設定を変更できる管理画面を用意している。その管理画面の初期設定に関して、今回脆弱性が見つかった。初期設定では、管理画面のユーザー認証が無効になっていて、なおかつ、インターネット経由で管理画面にアクセスできるという(図)。

 つまり、無線LANルーターのIPアドレスさえ分かれば、攻撃者はインターネット経由で管理画面にアクセスし、設定を自由に変更できてしまう。これにより、例えばルーターのDNS設定を変更し、攻撃者のDNSサーバーなどを参照させるようなファーミング詐欺が可能となる。この場合、ユーザーが本物のWebサイトのURLをWebブラウザーに入力しても、攻撃者が意図した偽サイトに誘導されてしまう。

 対策は、(1)インターネット側からは管理画面にアクセスできないように設定変更することと、(2)管理画面にアクセスするためのパスワードを設定すること。どちらか一方だけでも脆弱性は解消できるが、両方実施しておくことが望ましい。

 具体的には、(1)については「システムセキュリティ設定」の「セキュリティレベル」を、初期設定の「標準」から「中」「カスタム」「高」のいずれかに変更する。ファームウエア(ソフトウエア)を最新のバージョンに更新することでも、初期設定が「中」に変更される。

 (2)については、「システムツール」の「パスワード」からパスワードを設定する。こちらについては、ファームウエアの更新だけでは対応できないので要注意。

 設定変更の具体的な手順や、ファームウエアの入手方法については、アイ・オー・データ機器が公開する情報を参照してほしい。