JVN#25766797
Aterm WF1200CR 、WG1200CR および WG2600HS における複数の OS コマンドインジェクションの脆弱性

Aterm WF1200CR、WG1200CR および WG2600HS には、複数の OS コマンドインジェクションの脆弱性が存在します。

• Aterm WF1200CR ファームウェア Ver1.2.1 およびそれ以前
• Aterm WG1200CR ファームウェア Ver1.2.1 およびそれ以前
• Aterm WG2600HS ファームウェア Ver1.3.2 およびそれ以前

日本電気株式会社が提供する Aterm WF1200CR、WG1200CR および WG2600HS には、次の複数の OS コマンドインジェクションの脆弱性が存在します。

• UPnP 機能における OS コマンドインジェクション (CWE-78) - CVE-2020-5524

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 8.8
  CVSS v2	AV:A/AC:L/Au:N/C:C/I:C/A:C	基本値: 8.3

• 管理画面における OS コマンドインジェクション (CWE-78) - CVE-2020-5525

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:C/I:C/A:C	基本値: 7.7

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品の UPnP 機能のインターフェースにアクセス可能なユーザによって、root 権限で任意の OS コマンドを実行される - CVE-2020-5524
• 当該製品の管理画面にアクセス可能なユーザによって、root 権限で任意の OS コマンドを実行される - CVE-2020-5525

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。