Zyxel Firewallのディレクトリトラバーサル脆弱性：ランサムウェア地獄への道 🔥

CVE-2024-11667がHelldownランサムウェア攻撃のゲートウェイとなった経緯

エンタープライズネットワークの影に隠れたファイアウォールアプライアンスは、巧妙なランサムウェア攻撃者のスケルトンキーになりつつあります。最近のCVE-2024-11667、Zyxelファイアウォールの重要なディレクトリトラバーサル脆弱性の悪用により、Helldownランサムウェアグループにとって壊滅的な経路が開かれ、信頼されたセキュリティデバイスがネットワーク侵害の道具へと変貌しています。

CVE-2024-11667の構造：セキュリティが弱点に変わるとき

CVE-2024-11667は、Zyxel ZLDファイアウォールファームウェアのバージョン5.00から5.38までのウェブ管理インターフェースに影響するディレクトリトラバーサル脆弱性です。この高重大度の脆弱性はCVSSスコア7.5で、パスの検証に根本的な欠陥があり、攻撃者はURLを操作して意図しないディレクトリ外のファイルにアクセスまたはアップロードできます。

ディレクトリトラバーサル攻撃の理解

ディレクトリトラバーサルの脆弱性は、ファイルパス処理における入力検証不足を悪用します。攻撃者は、「../」などの特殊文字列を含む悪意のあるURLを作成し、制限されたディレクトリ外へナビゲートします。Zyxelファイアウォールの場合、攻撃者は以下を行えます：

• ネットワーク資格情報を含む設定ファイルのダウンロード
• 悪意のあるペイロードの直接アップロード
• VPN設定データや事前共有キーの抽出
• Active Directory認証資格情報の窃盗
• セキュリティポリシーの改ざんによる永続的なバックドアの作成

多くの場合、認証不要での悪用が可能なため、インターネットに公開された管理インターフェースにとって非常に危険です。

影響を受けるデバイスとバージョン

この脆弱性は、Zyxel ATPシリーズのファームウェアバージョンV5.00からV5.38、USG FLEXシリーズのV5.00からV5.38、USG FLEX 50(W)シリーズのV5.10からV5.38、USG20(W)-VPNシリーズのV5.10からV5.38に影響します。これらのエンタープライズグレードのセキュリティアプライアンスは、世界中の数千の組織に導入されており、中小企業から大企業まで幅広く展開されています。

Helldownの登場：忘れられたファイアウォールを悪用するランサムウェア

Helldownランサムウェアは2024年8月に初めて記録され、その後急速に拡大し、データ脅迫ポータルにはすでに31の被害者が登録されています。主に米国とヨーロッパの中小企業を標的とし、ネットワークエッジデバイスの積極的な悪用が特徴です。

Helldownの攻撃チェーン

典型的なHelldownの侵害は以下のパターンをたどります：

1. 初期アクセス：CVE-2024-11667の悪用によるファイアウォールのウェブ管理インターフェースへの攻撃
2. 資格情報の収集：設定ファイルのダウンロードによる認証情報の抽出
3. バックドアの作成：’SUPPOR87’、’SUPPOR817’、’VPN’などの管理者権限を持つ不審なアカウントの作成
4. VPNトンネルの確立：盗用した資格情報を使ったSSL VPN接続の確立
5. 横展開：侵害されたドメイン資格情報を使った内部ネットワークへの侵入
6. データの抽出：最大431GBの大量データを窃盗（他のランサムウェアと異なり、より広範なデータ盗難）
7. ランサムウェアの展開：WindowsやLinuxシステム、VMware仮想マシン上の重要ファイルを暗号化

技術的洗練度と運用への影響

Helldownのランサムウェア暗号化ツールは、バッチファイルを使ってプロセスを終了させるなど、特に高度ではありませんが、未知の脆弱性を利用できるアクセス権を持つことが、その脅威の大きさを高めています。攻撃者の洗練度は、未公開または非公開の脆弱性のエクスプロイトコードにアクセスできる点にあります。

パッチのパラドックス：なぜアップデートだけでは不十分か

Zyxelは2024年9月3日にファームウェアバージョン5.39をリリースし、CVE-2024-11667に対処し、セキュリティ強化を行いました。しかし、多くの組織はパッチ適用だけでは十分な保護にならないことを発見しています。

資格情報の永続性の問題

ドイツCERT-Bundは、影響を受けたデバイスのアップデートだけでは、攻撃者が既存のアカウントを使ってネットワークに侵入できるため、完全な防御にならないと指摘しています。これは、脆弱性のパッチだけでは、攻撃者がすでに持つ永続化手段を排除できないという重要なセキュリティ原則を示しています。

ファームウェア5.39にアップデートした組織でも、以下を行わなかった場合、再侵入のリスクは残ります： - 管理者パスワードの変更 - VPNの事前共有キーのローテーション - Active Directoryや外部認証資格情報の更新 - 不審なユーザーアカウントの監査と削除 - ファイアウォールのセキュリティポリシーの見直しと強化

これらを怠ると、最初の侵害時に盗まれた資格情報を使った再侵入の危険性が残ります。

忘れられたデバイス症候群：エッジセキュリティの失敗

ネットワークエッジデバイス（ファイアウォール、ルーター、VPNゲートウェイ）は、特有のセキュリティ課題を抱えています。エンドポイントのEDRやSIEMで監視されるサーバーとは異なり、これらのデバイスはしばしばセキュリティの盲点となります。

放置の危険な要因

エッジデバイスの脆弱性を生む要因は以下の通りです：

1. 可視性の不足：従来のネットワークセキュリティツールは、多様なIoTやネットワークデバイスの特定と追跡に苦労し、セキュリティ評価の盲点を作り出します。何年も前に設置されたファイアウォールは、クローゼットやサーバールーム、リモートオフィスで忘れ去られていることもあります。

2. パッチ管理のギャップ：エンタープライズのパッチ管理システムは、通常サーバーやワークステーションに焦点を当てており、ネットワークアプライアンスは手動でのファームウェア更新が必要であり、ルーチンのメンテナンス中に優先度が下がることがあります。

3. 資格情報の再利用：デフォルトや弱い管理者パスワードは長期間変更されず、多くの組織は初期導入後にファイアウォールの資格情報をローテーションしません。

4. サポート終了機器：サポートされていないファームウェアを動かすデバイスはセキュリティアップデートを受けられず、サポート終了後も使用され続けることがあります。予算や認識不足により古いアプライアンスを使い続けるケースもあります。

5. リモート管理の露出：ネットワークエッジデバイスは、リモートアクセスが可能なため、エンドポイント保護や集中ロギングの対象外となり、特権資格情報を持ち、横展開の足掛かりとなることもあります。

統計が示す深刻な現状

最近の調査によると：

• 2024年には、ゼロデイ脆弱性の約3割がネットワーク・セキュリティアプライアンスを標的にしている
• ルーターはIoT感染の75%、セキュリティカメラは15%を占める
• 2023年以降、ネットワークインフラデバイスのリスクはエンドポイントを上回っています

CISAの措置：KEVカタログへの追加

2024年12月3日、CISAはCVE-2024-11667をKnown Exploited Vulnerabilities（KEV）カタログに追加し、連邦機関に対して12月24日までにパッチ適用を促しました。この指定は、実際に野外での悪用が確認されていることを示し、連邦民間機関に対して義務的な修正を義務付けるものです。

CISA KEVリストは、すべての組織にとって重要な警告信号です。連邦機関が3週間以内にパッチを適用する必要があるなら、その脅威は深刻かつ即時です。

総合的な修正戦略

CVE-2024-11667や類似の脅威に対抗するには、多層的なアプローチが必要です：

即時対応（24時間以内）

1. 全てのZyxelデバイスの特定：ネットワークスキャンを実施し、リモートや忘れられた場所にあるファイアウォールを含めて特定

2. 緊急ファームウェアアップデート：全デバイスを直ちにZLDファームウェアバージョン5.39以降にアップグレード

3. 資格情報リセットの徹底：

   • 管理者およびユーザアカウントのパスワード変更
   • VPNの事前共有キーのローテーション
   • 外部認証サーバーの資格情報更新
   • Active Directoryの同期パスワード変更

4. アカウント監査：不明な管理者・ユーザアカウントの削除（例：”SUPPORT87”や”VPN”）

5. セッションの強制終了：すべてのアクティブセッションをログアウトさせ、再認証を要求

短期的な堅牢化（1週間以内）

1. セキュリティポリシーの見直し：

   • 管理インターフェースへの無制限WANアクセスを許すルールの削除
   • SSL VPNアクセスを特定IP範囲に制限
   • LANのセグメンテーションを厳格化

2. アクセス制御の実施：

   • 必要な場合のみリモート管理を許可
   • 管理インターフェースのIP制限設定
   • HTTPSやSSL VPNのポート変更による自動スキャンの回避

3. 多要素認証の導入：すべての管理者・ユーザのログインに二要素認証を必須化

長期的なセキュリティ態勢

1. 継続的監視：24/7のログ分析を実施し、以下を監視：

   • 新規アカウント作成イベント
   • 認証失敗の試行
   • 設定変更
   • 不審なVPN接続パターン
   • 管理インターフェースを通じたファイルのアップロード/ダウンロード活動

2. 定期的なセキュリティ監査：四半期ごとにネットワークエッジデバイスの見直しを実施し：

   • ファームウェアバージョンの確認
   • 資格情報の強度評価
   • 不要アカウントの削除
   • 設定の堅牢化検証

3. 資産管理：すべてのネットワークデバイスのインベントリを維持し：

   • ファームウェアバージョン
   • 最終更新日
   • 管理アクセス資格情報（安全に保管）
   • 重要度評価
   • 更新スケジュール

4. インシデント対応計画：エッジデバイス侵害に備えたプレイブックを作成し、隔離手順や証拠保存手順を含める

より広い視点：2024年のエッジデバイスセキュリティ

CVE-2024-11667の悪用キャンペーンは、サイバーセキュリティのより広範な動向を示しています。攻撃者はフィッシングからネットワークエッジデバイスの悪用へと焦点を移しています。フィッシングの効果が減少したためです。2024年の侵入のうち、フィッシングは約14%、エクスプロイトは33%と、攻撃の風景は根本的に変化しています。

なぜエッジデバイスが新たなフロンティアになったのか

攻撃者の視点から、エッジデバイスには以下の利点があります：

• EDR/AVのカバレッジなし：ファイアウォールやルーターはエンドポイント検知ソリューションを実行しません
• 特権的ネットワーク位置：侵害により内部トラフィックへの即時アクセスが可能
• 資格情報の宝庫：設定ファイルに複数システムの資格情報が含まれる
• 永続化の機会：VPNアカウントを作成し長期的なアクセスを確保
• 検知リスクの低さ：多くの組織はエッジデバイスの監視を十分に行っていません

放置のコスト

サイバー保険の支払い拒否の最も一般的な理由はセキュリティプロトコルの不備（43%）、次いでコンプライアンス違反（33%）です。エッジデバイスのセキュリティを怠ると、以下のリスクに直面します：

• ランサムウェア攻撃：HelldownがZyxelデバイスを標的にした例
• データ漏洩：機密情報の窃盗
• 規制違反：セキュリティ基準違反
• 保険請求の却下：セキュリティ不備によるカバレッジ喪失
• 評判の低下：80%の顧客はデータの安全性に不安を抱き、離反します

Helldownキャンペーンからの教訓

HelldownランサムウェアのZyxelファイアウォール悪用は、セキュリティ専門家に重要な教訓をもたらします：

教訓1：パッチ適用は必要だが不十分

セキュリティアップデートは既知の脆弱性に対処しますが、既存の侵害を排除しません。特にエッジデバイスでは、パッチ適用後も広範な資格情報のローテーションとフォレンジック調査を行う必要があります。

教訓2：エッジデバイスには特殊なセキュリティ対策が必要

従来のセキュリティツールやプロセスだけでは、ネットワークエッジデバイスを十分に保護できません。ファイアウォール、ルーター、VPNゲートウェイには専用の監視と管理戦略が必要です。

教訓3：サプライチェーンはネットワークデバイスにまで拡大

国家やランサムウェアグループは、ネットワークインフラを最初の侵入口とし、標的にしています。ネットワークアプライアンスのセキュリティ態勢は、組織全体のレジリエンスに直結します。

教訓4：忘れられたデバイスは致命的な脆弱性になる

古いファイアウォールや、設置場所を忘れたルーター、廃止されたVPNゲートウェイなど、忘れられたデバイスは重大なセキュリティギャップです。定期的な資産の発見と廃止プロセスが不可欠です。

今後の展望：エッジのセキュリティ確保

Helldownのようなランサムウェアグループが戦術を進化させる中、組織はエッジデバイスの脆弱性に対処するセキュリティ戦略を適応させる必要があります：

推奨セキュリティフレームワーク

1. ゼロトラストのネットワークデバイス適用：継続的な検証とセグメンテーションを要求
2. 自動コンプライアンス監視：古いファームウェアや弱い資格情報、設定のずれを自動検出
3. 集中管理：ネットワークデバイス管理を一元化し、包括的なロギングとアラートを実現
4. 定期的なペネトレーションテスト：エッジデバイスも範囲に含め、パストラバーサルや認証バイパスの脆弱性をテスト
5. ベンダーのセキュリティ要件：調達時に以下を求める：
   • セキュリティアップデートのコミットメントとSLA
   • 脆弱性公開プロセス
   • セキュア開発ライフサイクルのドキュメント
   • End-of-life移行サポート

結論：セキュリティデバイスからセキュリティリスクへ

CVE-2024-11667の皮肉な点は深い：ネットワークを守るために導入されたデバイスが、破壊的なランサムウェア攻撃の経路となったのです。Zyxelファイアウォールは、組織の境界を守るために設計されていましたが、ディレクトリトラバーサルの単純な脆弱性を悪用して資格情報を盗み、永続性を確立し、暗号化マルウェアを展開する入口へと変貌しました。

この事件は、現代サイバーセキュリティの根本的な真実を浮き彫りにします。それは、「セキュリティは、ネットワーク上で最も監視されていないデバイスの強さに比例する」ということです。忘れられたファイアウォールや老朽化したルーター、「設定して忘れる」VPNゲートウェイは、攻撃を待つ重大な脆弱性です。

今後、組織は、サーバーやエンドポイントと同じくらい、エッジデバイスのセキュリティに注力し、資源を投入し、監視を強化すべきです。ランサムウェア地獄への道は、古いファームウェア、変更されていないデフォルトパスワード、セキュリティチームの目から外れたデバイスの積み重ねにより舗装されているのです。

次のランサムウェア攻撃者よりも早く、これらの脆弱性を発見し修正できるかどうかが鍵です。

---

重要ポイント

• CVE-2024-11667は、Zyxelファイアウォールの管理インターフェースを通じてファイルのアップロードとダウンロードを可能にします
• Helldownランサムウェアは、2024年8月以降、少なくとも31の組織をこの脆弱性で侵害
• パッチだけでは不十分、資格情報の完全なローテーションとアカウント監査が不可欠
• ネットワークエッジデバイスは、フィッシングの効果低下に伴い、新たなランサムウェアのフロンティアに
• 忘れられた、または管理不十分なネットワークデバイスは、攻撃者にとって重要なセキュリティギャップ
• CISAのKEVリストは、2024年12月24日までに連邦機関にパッチを義務付けており、深刻な実働中の悪用を示唆