『セキュリティホール？』のクチコミ掲示板

[ITマニアック]

このルーターを利用してしばらく使っているのですが、いままで2回ほどおかしくなったことがあります。今日に至っては、ローカルに監視カメラシステムがあるのですが、そのレコーダーにインターネット側から普通にアクセスできてしまいました。公開設定しているわけではなく、反応が悪いこともなく動画再生できてしまいました。我が家のグローバルipアドレスを試しにhttpで会社からアクセスしてみたら、そんな状況でした。自宅に帰り、設定画面から内容を確認しましたが、特に書き換えられた形跡はなく、監視カメラシステムにはオランダのipからアクセスされた形跡がありました。仕方なしにルーターの電源リセットをしたところ、監視カメラシステムの中継がされることが無くなりましたが、また、つぎいつか勝手に誤動作するかと思うと怖いです。
早々にファームウェアの更新をしてほしいです。また、残念なことにこの装置にはログを記録する機能が全くありません。原因究明をするにも、何もできません。ルーターが何らかの方法でハッキングされた可能性があるのではないかとも思うのですが、どうでしょうか？

書込番号：23986970

[モモくっきい]

販売元のエレコムはこういった動作に対して何か言っていましたか？

書込番号：23987018

[LsLover]

『ローカルに監視カメラシステムがあるのですが、そのレコーダーにインターネット側から普通にアクセスできてしまいました。』

[ UPnPを有効にする ]設定および[ ポートフォワーディング ]の設定を確認されたのでしょうか?

WRC-1167GEBK-S
UPnPを有効にする（P104）
UPnP(Universal Plug and Play)機能の有効／無効を設定します。UPnPを有効にするとUPnP対応OSでUPnP対応ネットワーク機器を使用した場合に、自動的にLAN内の機器を検出して、正常に認識できるようにします。（初期値：無効）
ポートフォワーディング
ポート転送（ポートフォワーディング）機能を設定します。通常NAT変換を利用するルータでは、WAN（インターネット）側からLAN上のコンピューターにアクセスすることはできませんが、この機能を利用することで、LAN上にある指定されたコんピュータをWAN（インターネット）側からアクセスできるようにすることができます。、
https://www.elecom.co.jp/support/manual/network/wireless-lan/router/wrc-1167gebk-s/WRC-1167GEBK-S_UM_v2.pdf?_ga=2.206597648.2062111904.1614203626-310387039.1614203626

書込番号：23987139

[ITマニアック]

＞モモくっきいさん

コメントありがとうございます。
エレコムのサイトのサポートでは、症状別に代表的なものは受け付けているのですが、「その他」となると、内容を書き込んで下さいとありますが、個人情報、連絡先などは書かないでくださいとなっています。状況だけ連絡して、ファームウェアの検証を依頼しました。
よろしくお願いします。

書込番号：23989070

[ITマニアック]

＞LsLoverさん

コメントありがとうございます。
UPnPについては、「無効」にしています。
私も他のＷＥＢサーバを公開しているため、その点は気を付けています。
ＷＥＢサーバ、監視カメラレコーダー共に固定ＩＰにして、ＷＥＢサーバのみ
８０ポート開放で公開している状況です。
そのため、推測するのはルーターのａｒｐテーブルが何等かの理由で壊れた？
もしくは壊された？のではないかと考えています。
ローカルネットワーク側のスイッチに接続したＰＣからは普通に各機器は
アクセスできましたので、ルーターのみａｒｐテーブルが壊れていたら、
同様の症状は発生するであろうとの推察まではしています。

ただ、普通はａｒｐテーブルは定期的に更新されるため、その仕組み自体が
停止させられるようなバグ、脆弱性がある可能性は否めません。

何か盲点ありそうでしょうか・・・

エレコムのルーターの不信感が払しょくできないので、仕事で使い慣れた
ファイヤーウォールに置き換えてみたいと現在は考えています。


よろしくお願いします。

書込番号：23989078

[LsLover]

『ＷＥＢサーバ、監視カメラレコーダー共に固定ＩＰにして、ＷＥＢサーバのみ
　８０ポート開放で公開している状況です。』

という設定状況で、

『今日に至っては、ローカルに監視カメラシステムがあるのですが、そのレコーダーにインターネット側から普通にアクセスできてしまいました。公開設定しているわけではなく、反応が悪いこともなく動画再生できてしまいました。我が家のグローバルipアドレスを試しにhttpで会社からアクセスしてみたら、そんな状況でした。』

監視カメラシステムにhttp://[グローバルipアドレス]:［外部ポート番号:80]/でアクセスできたということでしょうか?
この状態では、Webサーバにアクセスできず、監視カメラシステムのWebページにアクセスしていたという状況だったと言うことでしょうか?

その後、

『ルーターの電源リセットをしたところ、監視カメラシステムの中継がされることが無くなりました』

という状況になったということでしょうか?

書込番号：23989402

[ITマニアック]

監視カメラのログ

＞LsLoverさん

＞監視カメラシステムにhttp://[グローバルipアドレス]:［外部ポート番号:80]/でアクセスできたということでしょうか?
＞この状態では、Webサーバにアクセスできず、監視カメラシステムのWebページにアクセスしていたという状況だったと言うことでし＞ょうか?

上記のとおりです。普段はＷＥＢサーバの画面が見られるはずなのに、監視カメラの操作ログイン画面になってしまいました。
ただ、パスワードは内部利用だったのでかけていませんでした。

＞その後、『ルーターの電源リセットをしたところ、監視カメラシステムの中継がされることが無くなりました』
＞という状況になったということでしょうか?

まず最初に緊急的に監視カメラの電源を落とし、中継されることはなくなりました。ＷＥＢ画面に戻ることもありません。

ルータの電源も落とし、再起動後、設定を確認したところ書き換えられたようには見えませんでした。
その後はＷＥＢサーバの画面が正常にみられるようになりました。

補足するなら、グローバルＩＰではなく、ドメイン名が割り振ってあるので、ドメイン名で監視カメラにアクセス
できていたことになります。

監視カメラのログに、ログインされたＩＰがＮＺからと記録されているため、ハッキングを疑っていますが・・・
そもそも普通に自動アップデートするだけなら、ログインなんてしないはずの「はず」という思いこみが
あるかもしれません。他にも、中華製レコーダーなのに、ＮＺからなんておかしいと決め込んでしまいましたが、
実は正常なアップデート作業で再起動をした際に、それがトリガーとなって異常をきたした可能性もなくはない
か！？とも思うようになってきました。

最後に、監視カメラのファームウェアのバージョン情報と更新日は何も変わっていない昨年の日付のままなのです。
なので、ハッキングされた・・・と感じましたが、もしかすると監視カメラの再起動に何か悪さをされた可能性も
いなめないかと、少しだけ気にし始めています。例えば再起動した最初のＩＰがＷＥＢサーバと同一のもので起動して
何秒後かに設定したＩＰになるとかショボい動作を中華製ならしないとも限らないですし・・・　それならルーターの
ａｒｐテーブルをぶち壊してもおかしくはないのではないかと・・・　でも、他のスイッチ類は正常に反応していたので、
ａｒｐテーブルがきちんと更新されればこんなことにはならないし・・・という思いもあります。

監視カメラ業者から、最新ファームを取り寄せましたので、再書き換えしてログの表示方法を確認してみたいと
思います。

よろしくお願いします。

書込番号：23989487

[LsLover]

『監視カメラシステムにはオランダのipからアクセスされた形跡がありました。』
『監視カメラのログに、ログインされたＩＰがＮＺからと記録されているため、ハッキングを疑っていますが・・・』

「ＮＺ」->「NL」でしょうか？
それともニュージーランドでしょうか?

因みに、Webサーバのログには、同一のIPアドレスからのアクセスは記録されていないのでしょうか?

『パスワードは内部利用だったのでかけていませんでした。』

監視カメラのWebページには、その後、パスワード保護を設定されたのでしょうか?
インターネット上には、ネットワークスキャンを実行しているサイトが多数ありますので、監視カメラのWebページへのアクセスが記録されてしまった可能性もあるかと思います。

書込番号：23989548

[LsLover]

監視カメラのログ上にIPアドレスがWebサーバど同一のIPドレスに設定された記録は残っていないのでしょうか?

書込番号：23989564

[ITマニアック]

＞LsLoverさん

＞「ＮＺ」->「NL」でしょうか？
失礼しました。以下です。
監視カメラのログが正しければ、2.57.122.97のIPアドレス割当てエリア
　国 オランダ
　country: NL
　mnt-by: pptechnology

＞因みに、Webサーバのログには、同一のIPアドレスからのアクセスは記録されていないのでしょうか?
ＷＥＢサーバ側のログは未確認でした。確かにアタックする兆候とかあるかもしれませんね。
そもそも日本語のホームページなので、外国の方が訪問することはハッキング目的以外ではないですね。

＞監視カメラのWebページには、その後、パスワード保護を設定されたのでしょうか?
再度、アタックがあるかもしれませんので、用心して複雑なパスに設定します。
しばらく、スニファーしかけて手口を確認するのもありですね。

＞監視カメラのログ上にIPアドレスがWebサーバど同一のIPドレスに設定された記録は残っていないのでしょうか?
それはログには記録がなかったです。先ほどの画面のとおりで、設定変更された様子はありませんでした。
単純にファームウェアをアップロードされて、再起動されたログのみでした。

監視カメラ販売業者からは、アップロードについては明確な回答がもらえませんでした。
（とりあえず、自動アップデートを禁止にして欲しいという依頼のみ）

監視カメラレコーダーが踏み台になっていなければ良いですが…　（都市伝説的に）中華製の怖さみたいなものに
不安を抱いてしまいます。

書込番号：23989623

[LsLover]

『ＷＥＢサーバ、監視カメラレコーダー共に固定ＩＰにして、ＷＥＢサーバのみ
８０ポート開放で公開している状況です。』

『単純にファームウェアをアップロードされて、再起動されたログのみでした。』

Webサーバ、監視カメラレコーダーのIPアドレスは、 WRC-1167GEBK-Sの固定DHCP設定で固定IPアドレスを設定されているのでしょうか?

固定DHCP設定(P99)
クライアントには自動的にIPアドレスが割り当てられます。特定のIPア、クライアントのネットワーク機器によっては、かし
クライアントのMAC。ドレスを割り当てたい場合がありますアドレスと指定したいIPアドレスを関連づけて登録することができます。最大20件まで設定できます
https://www.elecom.co.jp/support/manual/network/wireless-lan/router/wrc-1167gebk-s/WRC-1167GEBK-S_UM_v2.pdf?_ga=2.112569735.2062111904.1614203626-310387039.1614203626

書込番号：23989702

[ITマニアック]

＞LsLoverさん

ルーターのＤＨＣＰ指定ＩＰ割り振りではなく、装置側で直接、ＩＰアドレスを固定しています。
ＤＨＣＰ使っているのは、ビデオレコーダーとか、スマホだけですね。
もちろん、ＩＰの衝突が起こらないように、割り振りエリアは分けています。

よろしくお願いします。

書込番号：23989814

[LsLover]

『ルーターのＤＨＣＰ指定ＩＰ割り振りではなく、装置側で直接、ＩＰアドレスを固定しています。』

IPマスカレードにより、外部ポート番号：80をWebサーバのポート番号：80へポートフォワード（転送）されている状況のようです。

IP Masquerade とは何ぞや
http://www.rtpro.yamaha.co.jp/RT/docs/nat/ip-masquerade.html

『先ほどの画面のとおりで、設定変更された様子はありませんでした。』

監視カメラのIPアドレスが変更された形跡がないとすると、WRC-1167GEBK-Sの設定内容が変更されたということになるかと想定されますが、ログ情報がないとなると『しばらく、スニファーしかけて手口を確認するのもありですね。』のも一案かと思います。

書込番号：23989980

[ITマニアック]

＞LsLoverさん

単純にグローバルの８０ポートから来たものを、内部のＷＥＢサーバの
８０ポートに転送しているだけなので、ＩＰマスカレードではなく、単純な
ＮＡＴ機能ですね。ＩＰマスカレードは１対Ｎですから、私のは１対１の
変換になっていますので・・・

おそらく、ルーターの電源リセットで復旧したこから、ａｒｐテーブルが
壊されたか、ルーターＲＡＭ上に展開されたポリシールールを書き
換えられたか壊された状態でないかと推測しています。

ハードウェアの故障も要因として外せないので、他のルーターと交換
する予定です。
いろいろと一緒に考えて頂きありがとうございました。

書込番号：23998289

[LsLover]

『単純にグローバルの８０ポートから来たものを、内部のＷＥＢサーバの
　８０ポートに転送しているだけなので、ＩＰマスカレードではなく、単純な
　ＮＡＴ機能ですね。』

WRC-1167GEBK-Sのポートフォワーディングでは、ポート番号を変換できない仕様のようですので、IP Masquaredeではないようです。確認不足でした。

ポートフォワーディング画面（P143）
ポート：WAN側から見た送信先のポート番号を入力します。
https://www.elecom.co.jp/support/manual/network/wireless-lan/router/wrc-1167gebk-s/WRC-1167GEBK-S_UM_v2.pdf?_ga=2.209517138.1792545208.1614666790-310387039.1614203626

書込番号：23998334

[ITマニアック]

このルーターより同年発売、後発のルーターで以下の情報がありました。

エレコムのルーターに脆弱性、利用停止を呼び掛け　「OSコマンドインジェクション」 を受ける可能性
https://image.itmedia.co.jp/l/im/news/articles/2107/06/l_dy_vb_02.jpg#utm_source=yahoo_v3&utm_medium=feed&utm_campaign=20210706-062&utm_term=zdn_n-prod&utm_content=img

書込番号：24308836