独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月28日、TP-Link製Omadaゲートウェイにおける複数のOSコマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ゼロゼロワンの早川宙也氏と神野亮氏が報告を行っている。
影響を受けるシステムは以下の通り。

・Omadaゲートウェイ
ER8411 ファームウェア 1.3.3 Build 20251013 Rel.44647より前のバージョン
ER7412-M2 ファームウェア 1.1.0 Build 20251015 Rel.63594より前のバージョン
ER707-M2 ファームウェア 1.3.1 Build 20251009 Rel.67687より前のバージョン
ER7206 ファームウェア 2.2.2 Build 20250724 Rel.11109より前のバージョン
ER605 ファームウェア 2.3.1 Build 20251015 Rel.78291より前のバージョン
ER706W ファームウェア 1.2.1 Build 20250821 Rel.80909より前のバージョン
ER706W-4G ファームウェア 1.2.1 Build 20250821 Rel.82492より前のバージョン
ER7212PC ファームウェア 2.1.3 Build 20251016 Rel.82571より前のバージョン
G36 ファームウェア 1.1.4 Build 20251015 Rel.84206より前のバージョン
G611 ファームウェア 1.2.2 Build 20251017 Rel.45512より前のバージョン
FR365 ファームウェア 1.1.10 Build 20250626 Rel.81746より前のバージョン
FR205 ファームウェア 1.0.3 Build 20251016 Rel.61376より前のバージョン
FR307-M2 ファームウェア 1.2.5 Build 20251015 Rel.76743より前のバージョン

　TP-LINKが提供するOmadaゲートウェイには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・Web管理インターフェイスから入手した情報を利用したOSコマンドインジェクション（
CVE-2025-6541）
→Web管理インターフェイスにログイン可能な攻撃者によって、当該製品上で任意のOSコマンドを実行される

・複数のパラメータにおけるOSコマンドインジェクション（CVE-2025-6542）
→攻撃者によって当該製品上で任意のOSコマンドを実行される

　JVNでは、開発者が提供する情報をもとにファームウェアを最新版にアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ