生産終了したNEC製ルータ17機種に複数脆弱性 - 修正予定なし

NEC製の家庭向けルータ「Aterm WG2200HP」など17機種に複数の脆弱性が明らかとなった。修正の予定はなく、後継製品などへの移行が呼びかけられている。

同社によれば、「Aterm WG2200HP」など17機種においてあわせて4件の脆弱性が明らかとなったもの。ルータモードやブリッジモードで利用し、USBポートへUSBストレージを接続している場合に「ディレクトリトラバーサル」の脆弱性「CVE-2023-3330」「CVE-2023-3331」の影響を受ける。

またこれら脆弱性を悪用することで、さらに「OSコマンドインジェクション」の脆弱性「CVE-2023-3333」や「クロスサイトスクリプティング（XSS）」の脆弱性「CVE-2023-3332」が悪用可能となり、任意のスクリプトやOSコマンドを実行されるおそれがある。

三井物産セキュアディレクションの塚本泰三氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。「Aterm WG2200HP」については、3月1日にサポートが終了しており、アップデートのリリース予定はないとしている。

JVNを通じて「Aterm WG2200HP」の脆弱性に関する注意喚起が行われているが、同機種以外にも生産が終了している16製品が同様の影響を受けるという。NECでは、対象製品よりUSBポートからUSBストレージを取り外すといった回避策を紹介する一方、ファームウェアの更新は行わないため、製品の移行を検討するよう呼びかけている。

対象機種は以下のとおり。

WG2600HP2
WG2600HP
WG2200HP
WG1800HP2
WG1800HP
WG1400HP
WG600HP
WG300HP
WF300HP
WR9500N
WR9300N
WR8750N
WR8700N
WR8600N
WR8370N
WR8175N
WR8170N

（Security NEXT - 2023/06/27 ）ツイート

生産終了したNEC製ルータ17機種に複数脆弱性 - 修正予定なし

関連リンク

PR

関連記事