記事によると

・ソニーネットワークコミュニケーションズのインターネットワークサービス「NURO光」でレンタルされるネットワーク機器について、NURO光側が管理時に使用するアカウントIDとパスワードが特定されました。このアカウントを利用することで、通常はユーザーがアクセスできない機能にアクセスできるほか、root権限によるコマンド実行が可能になります

◆1：「HG8045Q」の脆弱性の指摘
研究者のAlex Orsholits氏によって報告された今回の脆弱性は、通信ネットワークの終端に設置する光回線終端装置(ONU)に関するもの。NURO光のONUにはいくつか種類がありますが、脆弱性が報告されているのはHuawei製の「HG8045Q」となっています。Orsholits氏は自身のHG8045Qをリバースエンジニアリングした結果、HG8045Qの「ウェブ管理画面」に存在する特殊なアカウントを発見

中略

◆4：脆弱性の報告とNURO光の対応
「管理者アカウントの特定」はGitHub上で公開されていましたが、root権限によるコマンド実行の脆弱性はどこにも公開されていないようだったので、NURO光に問い合わせて脆弱性を報告することに。まずはバグ報奨金プラットフォームのHackerOneを確認してみましたが、NURO光は参加していませんでした。

・2020年9月28日：「管理者アカウントの特定」についてテクニカルセンター経由でNURO光に報告、「後日回答します」という返答
・2020年10月6日：「管理者アカウントの特定」および「root権限奪取」についてサポートデスクにメールで報告、「弊社担当へお伝えさせていただきます」という返答
・2020年10月27日：NURO光に再び連絡すると案件が放置されていたと判明、1週間以内に回答してもらうよう要請
・2020年10月28日：NURO光にメールで脆弱性の詳細を追加で報告
・2020年11月5日：NURO光から折り返しの電話あり、コールセンター責任者は「脆弱性を対応する」との返答
・2020年11月9日：NURO光から再び折り返しの電話あり、11月5日と同じ責任者から「NURO側から正式に『脆弱性は修正しない』という回答があった」との返答


 

この記事への反応

・( 'ω')ﾋｪｯ

・情弱ザマァ wwwwww

・つまり…どういうことだってばよ？

・↑Rootできるってことは改造できる
高速化したり遮断しだり


・なんでファーエイなんか使うのか

・修正しちゃったら華為様との契約違反になるんでしょ

・シナ製通常運転やな

・ルーターじゃなくてONUでしょ
大きな問題なのか？これ

・WAN側からはアクセスできないからまだマシ
でも直せよ

・スパイ防止法と成りすまし背乗りシナチョンの駆除は絶対必要なんだよねえ

toioバリューパック GoGo ロボットプログラミング ~ロジーボのひみつ~同梱版 【数量限定特典】レゴ クラシック アイデアパーツ 11001(付)&toioのビジュアルプログラミングお試し紙マット(付)&工作生物ゲズンロイド(付)
 
フリーイング ネコぱら ココナツ 水着Ver. 1/12スケール PVC製 塗装済み組み立て品フィギュア