JVNVU#96340370
TP-Link EAP Controller に安全でないデシリアライゼーションの問題

TP-LINK の Linux 向け EAP Controller では、Remote Method Invocation (RMI) 実行時に認証が行われません。また、脆弱なバージョンの Apache Commons Collections を利用しています。その結果、遠隔の第三者によりデシリアライゼーション攻撃が行われ、EAP Controller サーバを制御される可能性があります。

• TP-LINK EAP Controller v2.5.3 およびそれ以前

TP-LINK が提供している EAP Controller は Wi-Fi アクセスポイントを遠隔で制御するためのソフトウェアです。

重要な機能に対する認証欠如の問題 (CWE-306) - CVE-2018-5393
Linux 向け EAP Controller では、遠隔制御を行うために Java Remote Method Invocation (Java RMI) を利用しています。RMI のインターフェースは、その利用にあたり認証を必要としません。そのため、遠隔の第三者により RMI を通じたデシリアライゼーション攻撃が行われ、サーバを遠隔制御されたり、悪意のある Java コードを実行させられたりする可能性があります。

信頼できないデータのデシリアライズ (CWE-502) - CVE-2015-6420
Linux 向け EAP Controller には脆弱なバージョンである Apache Commons Collections v3.2.1 が同梱されており、これが本脆弱性の根本的な原因と考えられます。そのため、バージョン 2.5.3 およびそれ以前の Linux 向け EAP Controller は VU#576313 (JVNDB-2015-006448) に記載されている脆弱性 CVE-2015-6420 を内包しています。
 

脆弱なバージョンの Apache Commons Collections がクラスパスに設定されている Java アプリケーションおよびライブラリは、攻撃者により任意のバイトコードを実行させられる可能性があります。

現在この脆弱性に完全に対処する EAP Controller のアップデートは提供されていません。
しかし、次のワークアラウンドを実施することでリスクを緩和することができます。なお、VU#576313 で述べられている通り、脆弱なライブラリのアップデートにより、必ずしもすべてのシナリオで脆弱性が解消されるわけではありません。

ワークアラウンドを実施する
Apache Commons Collections をアップデートする
Apache Commons Collections をバージョン 3.2.2 もしくは 4.1 以上にアップデートしてください。詳細は VU#576313 を参照してください。

EAP の JRE バージョンをアップデートする
EAP で使用している Java Runtime Environment (JRE) を、利用可能な最新のバージョンにアップデートしてください。JRE の最近のバージョンでは、デシリアライゼーション処理を保護するための仕組みが向上されています。