Zbtlink製ルータに出荷時からバックドア、認証なしでroot権限奪取

侵入ではなく「設計」だったバックドア #

米セキュリティ企業VulnCheckが、中国Zbtlink製の5G対応ルータおよそ20機種で、出荷時点のファームウェアに遠隔操作用インプラント「ENDLESSDOORS」が組み込まれていたと公表した。後から何者かが仕込んだ侵害ではなく、ベンダ自身が製造段階で実装していたという点が異例だ。Zbtlinkは深センの製造業者で、自社ブランドだけでなく世界各地へホワイトレーベル供給しており、対象機種は家庭用というよりホテルのバックオフィス回線など法人向けの小規模5G CPEが中心とされる。

kworkerを騙る、認証ゼロのC2 #

実装の核は2015年から更新の止まったOSSツール「rctl」で、これをlibrctl.soとしてOpenWrtパッケージ化していた。角括弧なしで動くこの偽kworkerはps上で監視の目をすり抜けやすい。接続はルータ側から外向きに開始されるため、待受ポートもインバウンドの穴も不要で、NATや一般的なegressフィルタも素通りする。三重のファイアウォールの内側にある機器でも、C2に到達できさえすれば同様に侵害され得る。CVSSはv3.1で9.8、v4.0でも9.3のCriticalと評価された。VulnCheckはこれを意図された設計でありパッチで直すバグではないと位置づけ、複数年・複数モデルにわたる存在を理由に、協調的開示すら行わずに公開へ踏み切った。

ハッカー視点 #

ホワイトレーベルOEMが挟まると、表向きのブランドを信頼しても中身の来歴までは検証できない。今回のように「バグではなく仕様」として作り込まれたバックドアは、パッチ配布そのものが解決策にならない点が厄介だ。企業ネットワークの末端に置かれたルータやCPEは監査対象から漏れがちだが、アウトバウンド通信の監視だけでも異常な定周期接続は検知できる。境界の内側にあるから安全、という前提こそ今回崩れた部分だ。