【ITニュース解説】Critical WD My Cloud bug allows remote command injection

Western Digital（WD）製のNAS（Network Attached Storage）デバイス「My Cloud」シリーズに、深刻なセキュリティ上の弱点（脆弱性）が見つかり、その修正版ファームウェアがリリースされたというニュースは、システムエンジニアを目指す皆さんにとって、サイバーセキュリティの重要性を理解するための良い教材となる。このニュースは、単なる製品の不具合報告に留まらず、システムの設計、開発、運用においてセキュリティがいかに重要であるかを如実に示しているのだ。

まず、WD My Cloud NASとは何かを理解しよう。NASは、ネットワークに接続して利用するストレージデバイスであり、簡単に言えば「自分だけのプライベートクラウド」や「共有ファイルサーバー」のようなものだ。家庭や中小企業で、複数のパソコンやスマートフォンからデータにアクセスしたり、共有したりするために使われることが多い。インターネット経由でもアクセスできるように設定すれば、外出先から自宅のNASに保存されたデータを見たり、アップロードしたりすることも可能になる。手軽に大容量のストレージを共有できる便利な機器である一方、ネットワークに接続されているからこそ、セキュリティが非常に重要となる。

今回見つかった脆弱性は「リモートコマンドインジェクション」と呼ばれる種類のもので、その危険度は極めて高いと評価されている。具体的に「リモートコマンドインジェクション」とは、攻撃者がネットワーク経由で離れた場所から、標的のシステム（この場合はWD My Cloud NAS）に対して、正規のユーザーでは実行できないような「任意のシステムコマンド」を強制的に実行させることのできる攻撃手法を指す。 「リモート」とは、インターネットのような広範囲のネットワークを介して、物理的に離れた場所から操作が可能だという意味である。つまり、攻撃者は被害者の自宅や会社の近くにいる必要はなく、世界のどこからでも攻撃を仕掛けられる可能性があるのだ。「コマンド」とは、コンピュータに特定の動作を指示するための命令のことだ。例えば、ファイルを削除する、新しいファイルを作成する、プログラムを起動するといった操作は、すべて裏側でコマンドが実行されている。そして「インジェクション」とは、外部から不正なデータを注入する、という意味合いで使われる。この場合、正規のデータ入力箇所に見せかけて、実際にはシステムが意図しないコマンドの文字列を送り込み、それをシステムに実行させてしまうのだ。

この脆弱性の深刻さが「クリティカル（critical-severity）」と評価されているのは、攻撃者が認証なしで、つまりユーザー名やパスワードを知らなくても、この攻撃を実行できてしまう点にある。通常、システムに何らかの操作を行うには、適切な権限を持つユーザーとしてログインする必要があるが、この脆弱性ではその認証プロセスを迂回して、システムに命令を下せるというわけだ。 もし攻撃が成功すれば、NASは攻撃者の意のままに操られてしまう。攻撃者は、NAS内のデータをすべて削除したり、盗み出したり、あるいは改ざんしたりできる。さらに恐ろしいのは、NASを踏み台にして、同じネットワーク内にある他のパソコンやサーバー、IoT機器に対して攻撃を仕掛けたり、遠隔操作でマルウェア（悪意のあるソフトウェア）をNASに感染させたりすることも可能になる点だ。これにより、NASが「ゾンビ化」して、知らぬ間にサイバー攻撃の加害者となってしまうケースも考えられる。個人情報や企業の機密情報が流出するだけでなく、業務が停止したり、他のシステムに被害を及ぼしたりする可能性もあるため、その影響は計り知れない。

このような深刻な脆弱性に対して、Western Digitalは迅速に「ファームウェアアップデート」を提供した。ファームウェアとは、ハードウェアを制御するための基本的なソフトウェアのことだ。パソコンでいうOSのようなもので、NASのような組み込み機器の動作を司っている。ファームウェアのアップデートは、製品の不具合修正や機能改善だけでなく、今回のようなセキュリティ脆弱性への対策としても非常に重要だ。アップデートを適用することで、今回発見されたリモートコマンドインジェクションの穴が塞がれ、外部からの不正なコマンド実行を防ぐことができるようになる。

このニュースから、システムエンジニアを目指す皆さんが学ぶべきことは多い。まず、ソフトウェアやシステムの開発において、セキュリティは後から付け足すものではなく、設計段階から最も重要な要素として考慮されるべきだという点だ。今回のような脆弱性は、多くの場合、開発時のコーディングミスやセキュリティ設計の不備に起因する。入力値の検証が不十分だったり、想定外の入力に対する処理が考慮されていなかったりすることが、コマンドインジェクションのような攻撃を許してしまう原因となるのだ。

また、システムを運用する側としても、セキュリティパッチやアップデートの適用は最優先事項であることを認識する必要がある。ベンダーが提供する修正プログラムを速やかに適用することは、既知の脆弱性を悪用した攻撃からシステムを守るための最も基本的で効果的な対策である。古いファームウェアやソフトウェアを使い続けることは、セキュリティホールを放置している状態に等しく、攻撃者にとって格好の標的となる。

さらに、システムエンジニアは、常に最新のセキュリティ情報をキャッチアップし、自身の担当するシステムやサービスがどのようなリスクに晒されているかを理解する能力が求められる。今回のニュースのように、広く普及している製品に重大な脆弱性が見つかることは珍しくない。そのような情報を迅速に入手し、適切な対応計画を立て、実行するスキルは、プロのシステムエンジニアとして不可欠なものとなるだろう。

今回のWD My Cloudの脆弱性とその修正は、システム開発から運用、保守に至るまで、セキュリティがすべてのフェーズでいかに重要であるかを改めて教えてくれる事例である。ユーザーはすぐにファームウェアをアップデートすべきであり、システムを扱うプロフェッショナルは、このような事態がなぜ起こるのか、どうすれば防げるのかを常に考え、学び続ける必要がある。