バッファロー製NAS用ユーティリティに権限昇格の脆弱性

バッファローがWindows向けに提供しているNAS用ユーティリティ「NAS Navigator2」に脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

「NAS Navigator2」は、バッファロー製のNASを検出したり、設定機能を提供するソフトウェア。Windowsサービスとして登録されるプログラムのパス指定に脆弱性「CVE-2025-61871」が確認された。

パス指定で引用符を用いていないことに起因し、細工した実行ファイルをシステムドライブ直下に配置できる場合、SYSTEM権限で任意のコードを実行することが可能となる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「8.4」、「CVSSv3.0」では「6.7」と評価されている。macOS版は影響を受けない。

同脆弱性は、GMOサイバーセキュリティbyイエラエの松本一真氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

バッファローでは、脆弱性を修正した「NAS Navigator2 Ver.3.12.0」を提供しており、利用者にアップデートを呼びかけている。

（Security NEXT - 2025/10/14 ）ツイート