独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月18日、UNIVERGE IX/IX-R/IX-Vシリーズルータにおけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。GMO Flatt Security株式会社のRyotaK氏が報告を行っている。
影響を受けるシステムは以下の通り。

UNIVERGE IXシリーズ：
　Ver.9.5からVer.10.7の全てのバージョン
　Ver.10.8.21～Ver.10.8.36、Ver.10.9.11～Ver.10.9.24
　Ver.10.10.21～Ver.10.10.31、Ver.10.11.6
　IX2105/IX2106/IX2107/IX2207/IX2025/IX2215/IX2235/IX2310/IX3015/IX3110/IX3315

UNIVERGE IX-R/IX-Vシリーズ：
　Ver1.3.16,Ver1.3.21
　IX-R2520/IX-R2530/IX-R2610-4G/IX-V100

　日本電気株式会社（NEC）が提供するUNIVERGE IX/IX-R/IX-Vシリーズルータには、クロスサイトスクリプティングの脆弱性（CVE-2025-8153）が存在し、ユーザが細工されたURLにアクセスした場合、ユーザのブラウザ上で任意のスクリプトが実行される可能性がある。さらに、ユーザがUNIVERGE IXシリーズ製品のWebGUIにログインしている状態だった場合には、ブラウザ上で実行されるスクリプトから当該製品へのアクセスによって、ユーザの権限で実行可能な任意のCLIコマンドを実行される可能性がある。

　JVNでは、NECが提供する情報をもとにソフトウェアのアップデートを行うか、アップデートを適用できない場合はWebGUIを無効にするよう呼びかけている。

元の記事を読む

編集部おすすめ