アカウント名:
パスワード:
話をごく単純にいうと、確かにlibupnpに穴はあるが、そもそも外からUPnPの使うポートが見えちゃダメじゃんというお話みたいです。
ただしもっとややこしい話のようなので是非リンク先を読んでみてください。
http://did2memo.net/2013/01/30/upnp-libupnp-vulnerability/ [did2memo.net]
現時点でもかなり影響力のありそうなメーカー名が並んでますね。増えることはあっても減ることはなさそう。http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Refere... [cert.org]
モバイルルータにも実装されてるとしたら、膨大な数になりそうです。機能の都合上、工場出荷時点で有効になっているものがほとんどでしょうし。ファームウェアの修正に時間がかかるでしょうから、とりあえずの対処として機能をオフにするだけのツールでも出してくるんじゃないかと。
メディアサーバ機能にて使用しているUPnP（ユニバーサルプラグアンドプレイ）に対して、悪意のある第三者による攻撃により、製品が再起動される可能性があります。 ※本現象は、WAN側からの攻撃では発生しません。
なんか、新しそうな8機種のみになってますね。 UPnP機能を持つ機種はもっと多いはずですが、「メディアサーバ機能」というのを持たない機種には影響しないようです。
Atermシリーズのメディアサーバについてはこのとおり [aterm.jp]。該当機器はUSBポートをもっており、そこにつないだストレージの内容をDLNAで共有できます。そこでUPnPが使われているのでしょう。この機能はLAN側にだけ開放している（はず）ので上流からは入れないという話なんですね、きっと。でも無線LANから入られた場合、無線から有線側にもアクセスできる設定の場合攻撃を受ける可能性が考えられます。
うちではUPnPもメディアサーバも無効にしてあり、無線から有線にアクセスできない設定にしているので当面影響はなさそうです。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー
確かにlibupnpに穴はあるが (スコア:4, 参考になる)
話をごく単純にいうと、確かにlibupnpに穴はあるが、そもそも外からUPnPの使うポートが見えちゃダメじゃんというお話みたいです。
ただしもっとややこしい話のようなので是非リンク先を読んでみてください。
http://did2memo.net/2013/01/30/upnp-libupnp-vulnerability/ [did2memo.net]
Re: (スコア:2)
現時点でもかなり影響力のありそうなメーカー名が並んでますね。
増えることはあっても減ることはなさそう。
http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Refere... [cert.org]
モバイルルータにも実装されてるとしたら、膨大な数になりそうです。
機能の都合上、工場出荷時点で有効になっているものがほとんどでしょうし。
ファームウェアの修正に時間がかかるでしょうから、とりあえずの対処として機能をオフにするだけのツールでも出してくるんじゃないかと。
Re:確かにlibupnpに穴はあるが (スコア:1)
なんか、新しそうな8機種のみになってますね。
UPnP機能を持つ機種はもっと多いはずですが、「メディアサーバ機能」というのを持たない機種には影響しないようです。
Re: (スコア:0)
Atermシリーズのメディアサーバについてはこのとおり [aterm.jp]。
該当機器はUSBポートをもっており、そこにつないだストレージの内容をDLNAで共有できます。
そこでUPnPが使われているのでしょう。この機能はLAN側にだけ開放している（はず）ので
上流からは入れないという話なんですね、きっと。
でも無線LANから入られた場合、無線から有線側にもアクセスできる設定の場合攻撃を受ける
可能性が考えられます。
うちではUPnPもメディアサーバも無効にしてあり、無線から有線にアクセスできない設定に
しているので当面影響はなさそうです。