JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は2月20日、エレコムの無線ルータに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、製品にログインできる攻撃者の細工したリクエストにより任意のOSコマンドを実行される危険性がある。

○脆弱性に関する情報が掲載されているWebサイト

脆弱性に関する情報は次のWebサイトにまとまっている。

無線LANルーターのセキュリティ向上のための ファームウェアアップデート実施のお知らせ | エレコム株式会社 ELECOM

JVNVU#99444194: エレコム製無線ルーターにおけるOSコマンドインジェクションの脆弱性

JVN#44166658: エレコム製無線 LAN ルーターにおける複数の脆弱性

JVNVU#99444194: エレコム製無線ルーターにおけるOSコマンドインジェクションの脆弱性

○脆弱性の影響を受ける製品

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

WRC-1167GS2-B Ver1.67およびこれ以前のバージョン

WRC-1167GS2H-B Ver1.67およびこれ以前のバージョン

WRC-2533GS2-B Ver1.62およびこれ以前のバージョン

WRC-2533GS2-W Ver1.62およびこれ以前のバージョン

WRC-2533GS2V-B Ver1.62およびこれ以前のバージョン

○脆弱性が修正された製品

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

WRC-1167GS2-B Ver1.73およびこれ以降のバージョン

WRC-1167GS2H-B Ver1.73およびこれ以降のバージョン

WRC-2533GS2-B Ver.1.68およびこれ以降のバージョン

WRC-2533GS2-W Ver.1.68およびこれ以降のバージョン

WRC-2533GS2V-B Ver.1.68およびこれ以降のバージョン

○脆弱性に関する情報

修正された脆弱性(CVE)は次のとおり。

CVE-2024-25579 - OSコマンドインジェクションの脆弱性

CVE-2024-21798 - 悪意のある管理者によりあらかじめ設定を細工された場合、別の管理者がログインして操作する際に任意のスクリプトをWebブラウザ上で実行される可能性がある

CVE-2024-23910 - 製品にログインした状態の管理者が細工されたページにアクセスした場合、製品に対して意図しない操作を実行される可能性がある

エレコムによると、これら製品のデフォルト設定で自動的に更新が行われるという。該当製品を運用している管理者は、製品が更新されているかどうかを確認し、必要に応じてアップデートを実施することが推奨されている。