一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月5日、Array Networks Array AGシリーズにおけるコマンドインジェクションの脆弱性について発表した。影響を受けるシステムは以下の通り。


ArrayOS AG 9.4.5.8およびそれ以前のバージョン
※リモートデスクトップアクセス環境を提供する機能「DesktopDirect」が有効な場合に本脆弱性の影響を受ける

　Array Networksが提供するArray AGシリーズのDesktopDirect機能には、コマンドインジェクションの脆弱性が存在し、攻撃者によって任意のコマンドを実行される可能性がある。なお現時点で、本脆弱性に対するCVE番号は採番されていない。

　Array Networksは2025年5月に本脆弱性を修正するバージョンをリリースしているが、JPCERT/CCでは2025年8月以降に、本脆弱性を悪用する攻撃が国内で発生し、当該製品にWebshellが設置されるなどの被害につながった事案を確認している。

　Array Networksでは、本脆弱性を修正したバージョン「ArrayOS AG 9.4.5.9」へのアップデートを推奨しており、JPCERT/CCでは十分なテストを実施の上で、修正済みバージョンの適用を検討するよう呼びかけている。

　また、Array Networksでは本脆弱性に対し、下記の回避策を提供している。

・DesktopDirectの機能を使用していない場合は、すべてのDesktopDirectサービスを無効にする
・URLフィルターを使用して";"を含むURLでのアクセスを拒否する

元の記事を読む

編集部おすすめ