公開日：2024/04/15　最終更新日：2024/04/15

JVN#58236836
バッファロー製無線LANルーターにおける複数の脆弱性

概要

株式会社バッファローが提供する複数の無線LANルーターには、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2024-23486

  • WSR-2533DHP ファームウェア Ver. 1.06およびそれ以前
  • WSR-2533DHPL ファームウェア Ver. 1.06およびそれ以前
  • WSR-2533DHP2 ファームウェア Ver. 1.10およびそれ以前
  • WSR-A2533DHP2 ファームウェア Ver. 1.10およびそれ以前
CVE-2024-26023
  • WCR-1166DS ファームウェア Ver. 1.32およびそれ以前
  • WSR-1166DHP ファームウェア Ver. 1.14およびそれ以前
  • WSR-1166DHP2 ファームウェア Ver. 1.14およびそれ以前
  • WSR-2533DHP ファームウェア Ver. 1.06およびそれ以前
  • WSR-2533DHPL ファームウェア Ver. 1.06およびそれ以前
  • WSR-2533DHP2 ファームウェア Ver. 1.10およびそれ以前
  • WSR-A2533DHP2 ファームウェア Ver. 1.10およびそれ以前

詳細情報

株式会社バッファローが提供する複数の無線LANルーターには、次の複数の脆弱性が存在します。

  • パスワードの平文保存（CWE-256）
    • CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 6.5
    • CVE-2024-23486
  • OSコマンドインジェクション（CWE-78）
    • CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 基本値 6.8
    • CVE-2024-26023

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 当該製品のログイン画面にアクセスできる攻撃者によって、設定済みの認証情報を窃取される（CVE-2024-23486）
  • 当該製品にログイン可能な攻撃者によって、任意のOSコマンドを実行される（CVE-2024-26023）

対策方法

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
株式会社バッファロー 該当製品あり 2024/04/15 株式会社バッファロー の告知ページ

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

これらの脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：株式会社サイバーディフェンス研究所 永岡　悟 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2024-26023
CVE-2024-23486
JVN iPedia JVNDB-2024-000040

更新履歴

2024/04/15
［関連文書］JVN iPediaのリンク不備を修正しました