Check Pointの投稿記事によると、この欠陥は、世界で最も普及している組み込み型Webサーバソフトウェアである「RomPager」の古いバージョンに起因するという。Misfortune Cookieの脆弱性は、200機種以上の家庭用ゲートウェイやSOHO（小規模オフィス／家庭オフィス）用ルータに影響する。Misfortune Cookieを利用すれば、悪質なHTTP cookieが含まれる1個のパケットを送信するだけで攻撃が可能だという。

　「ゲートウェイデバイスが感染すると、攻撃者はそのデバイスの管理者権限を手に入れた上で、インターネット接続を監視する、認証情報を盗む、コンピュータやタブレットなど、接続されたデバイスを攻撃する、といったことを実行できるようになる」とCheck Pointは指摘する。

　同社によると、企業が注意しなければならないのは、この脆弱性で危険にさらされるのが消費者の個人データだけではないということだ。企業のデータも、侵入されたゲートウェイデバイス経由で転送されると盗まれる恐れがあるという。

　「こうしたリスクの影響はプライバシーの侵害だけにとどまらない。デバイスにマルウェアをインストールし、設定に恒久的な変更を加えるといった攻撃を受ける恐れもある」とCheck Pointは記している。「WANとLANの間を自由に行き来できるということは、ゲートウェイが提供するファイアウォールや隔離機能を回避することを意味し、一般的な脅威モデルは通用しなくなる。例えば、攻撃者は家庭のWebカメラにアクセスしたり（デフォルトの認証情報がその手段に使われる可能性もある）、企業のバックアップ用NAS（Network Attached Storage）ドライブからデータを盗んだりできるかもしれない。

「自宅のセキュリティ対策」が必須に

　在宅勤務の従業員が増えてきたことで、家庭用ルータのセキュリティが企業にとっても現実的な問題になりつつある。米SANS Institute傘下のInternet Storm Centerは2015年、「TCPポート32764に対するプローブが急増しており、これは米Linksysのルータに存在するといわれるバックドアを狙った攻撃とみられている」と報告した。このバックドアの存在を明らかにしたのは、セキュリティ研究者のイーロイ・バンダーベーケン氏。米TechTargetのネットワークセキュリティエキスパートで米Principle Logicの情報セキュリティコンサルタントを務めるケビン・ビーバー氏は、こうした攻撃に対して「企業のセキュリティ担当者は、在宅勤務の従業員のIPアドレスをスキャンし、彼らの自宅にあるデバイスに脆弱性がないか確認すべきだ。脆弱性が見つかった場合は、デバイスをアップグレードするか買い換えるよう促す必要がある」と述べている。

　Check PointはMisfortune Cookieに対する防護策に関して「自宅のコンピュータに保存されている重要なファイルやドキュメントは全てパスワードで保護すること。また、Webブラウザの全ての処理に対してHTTPS暗号化を有効にすること」とアドバイスしている。

　この欠陥そのものに対処するには、影響を受けるハードウェアのベンダー（台湾のD-Link、中国のHuawei、台湾のEdimax、中国のZTEなど）がファームウェアをアップデートする必要がある。技術に詳しいユーザーであれば、安全性が確認されたサードパーティー製ファームウェアを使ってデバイスを書き換えるという手もある。Check Pointでは、Misfortune Cookie攻撃を受ける可能性がある200機種余りの家庭用ゲートウェイのメーカー全てに通知したとしている。

　だが、業界著名人のダン・ギア氏はここ数年「家庭用ルータ機器のメーカーはアップデートを提供するのが遅い。アップデートを全く提供しないメーカーもある」と何度も指摘している。RomPagerの開発元である米Allegro Softwareは2005年、自社のソフトウェアのアップデート版をメーカー各社に提供したが、Check Pointによると、脆弱性のある古いバージョンのソフトウェアを組み込んだデバイスが、今でも販売されているという。

　「これは深刻な問題であり、業界全体で解決する必要がある。今日のデバイスは全て、デフォルト設定でなくても、ソフトウェアのセキュアな自動更新機能を装備すべきだ」とCheck Pointは記している。