独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月4日、アイ・オー・データ製ルータUD-LT1およびUD-LT1/EXにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。情報通信研究機構 サイバーセキュリティ研究所の倉盛剛志氏と高嶋香織氏と倍味幸平氏、株式会社ゼロゼロワンの早川宙也氏と神野亮氏が報告を行っている。
影響を受けるシステムは以下の通り。

UD-LT1 ファームウェア Ver.2.1.8およびそれ以前
UD-LT1/EX ファームウェア Ver.2.1.8およびそれ以前

　株式会社アイ・オー・データ機器が提供するルータUD-LT1およびUD-LT1/EXには、下記の影響を受ける可能性がある複数の脆弱性が存在する。アイ・オー・データ機器では、これらの脆弱性を悪用した攻撃を確認している。

・不適切なアクセス権限付加（CVE-2024-45841）
→当該機器のguestアカウントを知る第三者に特定のファイルにアクセスされた場合、認証情報を含む情報を窃取される

・OSコマンドインジェクション（CVE-2024-47133）
→当該機器に管理者アカウントでログイン可能な第三者によって、任意のOSコマンドを実行される

・ドキュメント化されていない機能（CVE-2024-52564）
→遠隔の第三者によって当該機器のファイアウォールを無効化され、その結果当該機器上で任意のOSコマンドを実行されたり機器の設定を変更される

　JVNでは、アイ・オー・データ機器が提供する情報をもとにファームウェアを最新版へアップデートするよう呼びかけている。

　アイ・オー・データ機器によると、CVE-2024-45841、CVE-2024-47133を修正したファームウェアは2024年12月18日頃にリリース予定で、CVE-2024-52564は下記のバージョンで修正されている。

UD-LT1 ファームウェア Ver.2.1.9
UD-LT1/EX ファームウェア Ver.2.1.9

元の記事を読む

編集部おすすめ