Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

生産終了したNEC製ルータ17機種に複数脆弱性 - 修正予定なし

NEC製の家庭向けルータ「Aterm WG2200HP」など17機種に複数の脆弱性が明らかとなった。修正の予定はなく、後継製品などへの移行が呼びかけられている。

同社によれば、「Aterm WG2200HP」など17機種においてあわせて4件の脆弱性が明らかとなったもの。ルータモードやブリッジモードで利用し、USBポートへUSBストレージを接続している場合に「ディレクトリトラバーサル」の脆弱性「CVE-2023-3330」「CVE-2023-3331」の影響を受ける。

またこれら脆弱性を悪用することで、さらに「OSコマンドインジェクション」の脆弱性「CVE-2023-3333」や「クロスサイトスクリプティング(XSS)」の脆弱性「CVE-2023-3332」が悪用可能となり、任意のスクリプトやOSコマンドを実行されるおそれがある。

三井物産セキュアディレクションの塚本泰三氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。「Aterm WG2200HP」については、3月1日にサポートが終了しており、アップデートのリリース予定はないとしている。

JVNを通じて「Aterm WG2200HP」の脆弱性に関する注意喚起が行われているが、同機種以外にも生産が終了している16製品が同様の影響を受けるという。NECでは、対象製品よりUSBポートからUSBストレージを取り外すといった回避策を紹介する一方、ファームウェアの更新は行わないため、製品の移行を検討するよう呼びかけている。

対象機種は以下のとおり。

WG2600HP2
WG2600HP
WG2200HP
WG1800HP2
WG1800HP
WG1400HP
WG600HP
WG300HP
WF300HP
WR9500N
WR9300N
WR8750N
WR8700N
WR8600N
WR8370N
WR8175N
WR8170N

(Security NEXT - 2023/06/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

Windows端末の障害問題に便乗するサイバー攻撃が発生中
CrowdStrike、Windows環境での不具合で声明 - 復旧方法も紹介
一部Window端末が正常に起動できず - CrowdStrikeが不具合認める
システムの仕様を知らずメール誤送信が発生 - 東京都福祉保健財団
市教委で特別支援教育就学奨励費対象児童の一部名簿を紛失 - 湖西市
Cisco、セキュリティアドバイザリ9件を公開 - 「Blast-RADIUS」の影響も
書類が車両走行中に散乱、一部未回収 - 明治国際医療大
職員がサポート詐欺被害、被害端末内に個人情報 - 吉田町
メールシステムで設定ミス、当初ベンダーも原因特定できず - 上智大
「Cisco SSM」に深刻な脆弱性 - 攻撃者によりパスワード変更可能