Trusted Design

CVE-2018-14847 の詳細

CVEの情報

説明:
MikroTik RouterOS through 6.42 allows unauthenticated remote attackers to read arbitrary files and remote authenticated attackers to write arbitrary files due to a directory traversal vulnerability in the WinBox interface.

CVE更新日: 2018-08-02 07:29:00.280000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2021-12-01

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.959810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-14847は、MikroTik RouterOSのWinboxインターフェースに存在する深刻な脆弱性です。以下に各観点から解説します。

1. 脆弱性の概要

CVE-2018-14847は、MikroTik RouterOSのWinbox管理プロトコル（TCPポート8291）におけるディレクトリトラバーサルおよび認証不備の脆弱性です。この脆弱性を悪用することで、認証されていないリモートの攻撃者がルーターのファイルシステムから任意のファイルを読み取ることが可能になります。また、認証済みの攻撃者は任意のファイルを書き込むこともできます。

1.1 影響

  • 任意のファイル読み取り: 認証されていないリモート攻撃者が、ルーターのファイルシステム上の任意のファイルを読み取ることができます。これには、ユーザー認証情報データベースである /flash/rw/store/user.dat など、機密性の高い情報が含まれます。
  • 認証情報の漏洩: 特にユーザー認証情報データベースが読み取られることで、管理者パスワードを含むユーザー認証情報が漏洩する可能性があります。
  • セッションハイジャックと権限昇格: 攻撃者がユーザーセッションをハイジャックし、アクセス権限を昇格させる可能性があります。
  • 任意のファイル書き込み: 認証されたリモート攻撃者は、ルーター上の任意のファイルを書き込むことができます。
  • リモートコード実行 (RCE) およびルートシェル: 後に、この脆弱性がさらに悪用され、任意のコード実行や完全なrootシェルアクセスを可能にするエクスプロイトが開発されました。
  • 実際の悪用: この脆弱性は、大規模な仮想通貨マイニング活動や、Merisボットネットなどのマルウェアによる攻撃で悪用された実績があります。

1.2 深刻度

  • CVSS v3.1 Base Score: 9.1 (Critical)
  • CVSS v3.1 Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)
    • AV:N (Network): ネットワーク経由で攻撃が可能。
    • AC:L (Low): 攻撃の複雑度が低い。
    • PR:N (None): 認証は不要。
    • UI:N (None): ユーザーの操作は不要。
    • S:U (Unchanged): スコープは変更されない。
    • C:H (High): 機密性への影響は高い。
    • I:H (High): 完全性への影響は高い。
    • A:N (None): 可用性への影響はないとされていますが、RCEにつながる可能性もあります。
  • EPSS Score: 96% (100% percentile)
    • EPSS（Exploit Prediction Scoring System）は、この脆弱性が実際に悪用される可能性が非常に高いことを示しています。
  • CISA KEV (Known Exploited Vulnerabilities) Catalogue: 含まれている。
    • これは、実際に攻撃で悪用されている脆弱性であることを示します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • MikroTik RouterOS バージョン6.42まで。
  • 修正済みバージョンより古いRouterOSを実行しているデバイスは脆弱なままです。

2.2 影響を受ける設定

  • Winbox管理プロトコル（TCPポート8291）が有効で、外部ネットワークからアクセス可能な設定。
  • この脆弱性はWinboxインターフェース自体に存在します。

3. 影響を受けた時の兆候

  • ログに、身に覚えのないIPアドレスからのログイン失敗後に成功したログイン試行の記録がある場合。
  • 設定ファイルに、不明なSOCKSプロキシ設定やスクリプトなどの異常がある場合。「Export」コマンドを使用して設定を検査することが推奨されます。

4. 推奨対策

4.1 本対策

  • RouterOSのアップグレード: MikroTik RouterOSをバージョン6.40.8、6.42.1、6.43rc4以降にアップグレードしてください。 MikroTikは2018年4月にこの脆弱性に対するパッチをリリースしています。
  • パスワードの変更: アップグレード後には、侵害されている可能性のある認証情報に対処するため、必ずパスワードを変更してください。

4.2 暫定回避策（緩和策）

  • Winboxポートへのアクセス制限: RouterOSをすぐにアップグレードできない場合は、Winboxポート（TCP 8291）へのアクセスを信頼できるネットワークに限定することで、攻撃のリスクを軽減できます。

5. 他に解説すべき観点

  • エクスプロイトの公開: この脆弱性には、GitHub上で多数の公開エクスプロイト（PoC）が存在し、Metasploitモジュールも利用可能です。
  • 脆弱性の詳細: ディレクトリトラバーサルは、/////./../のようなセグメントを使用して、ルーターのファイルシステムを上位ディレクトリに移動し、最終的に /flash/rw/store/user.dat のような機密ファイルにアクセスすることで実現されます。このリクエストには認証は不要です。
  • Winboxプロトコル: WinboxはMikroTik独自のバイナリ管理プロトコルであり、TCPポート8291で動作します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る