JVNVU#96424864
センチュリー・システムズ製FutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズにおける複数の脆弱性

センチュリー・システムズ株式会社が提供するFutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズには、複数の脆弱性が存在します。

• FutureNet NXR-1300シリーズ ファームウェア Version 7.4.9 およびそれ以前
• FutureNet NXR-650 ファームウェア Version 21.16.1 およびそれ以前
• FutureNet NXR-610Xシリーズ ファームウェア Version 21.14.11 およびそれ以前
• FutureNet NXR-530 ファームウェア Version 21.11.13 およびそれ以前
• FutureNet NXR-350/C ファームウェア Version 5.30.9 およびそれ以前
• FutureNet NXR-230/C ファームウェア Version 5.30.12 およびそれ以前
• FutureNet NXR-160/LW ファームウェア Version 21.8.3 およびそれ以前
• FutureNet NXR-G200シリーズ ファームウェア Version 9.12.15 およびそれ以前
• FutureNet NXR-G180/L-CA ファームウェア Version 21.7.28B およびそれ以前
• FutureNet NXR-G120シリーズ ファームウェア Version 21.15.2 およびそれ以前
• FutureNet NXR-G110シリーズ ファームウェア Version 21.7.30C およびそれ以前
• FutureNet NXR-G100シリーズ ファームウェア Version 6.23.10 およびそれ以前
• FutureNet NXR-G060シリーズ ファームウェア Version 21.15.5 およびそれ以前
• FutureNet NXR-G050シリーズ ファームウェア Version 21.12.9 およびそれ以前
• FutureNet VXR/x64 ファームウェア Version 21.7.31 およびそれ以前
• FutureNet VXR/x86 ファームウェア Version 10.1.4 およびそれ以前
• FutureNet NXR-1200 ファームウェア Version 5.25.21 およびそれ以前
• FutureNet NXR-130/C ファームウェア Version 5.13.21 およびそれ以前
• FutureNet NXR-155/Cシリーズ ファームウェア Version 5.22.5M およびそれ以前
• FutureNet NXR-125/CX ファームウェア Version 5.25.7H およびそれ以前
• FutureNet NXR-120/C ファームウェア Version 5.25.7H およびそれ以前
• FutureNet WXR-250 ファームウェア Version 1.4.7 およびそれ以前

センチュリー・システムズ株式会社が提供するルータであるFutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズには、次の複数の脆弱性が存在します。

• 安全でない初期設定（CWE-1188）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2024-31070
• 利用可能なデバッグ機能（CWE-489）
  • CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 基本値 7.2
  • CVE-2024-36475
• OSコマンドインジェクション（CWE-78）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2024-36491
• バッファオーバーフロー（CWE-120）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2020-10188
    当該製品では、既知の脆弱性を含むnetkit-telnetが使用されています。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• Telnetに無制限でアクセスされる（CVE-2024-31070）
• デバッグ機能の使用方法を知っているユーザがログインした場合、デバッグ機能を使用され、任意のOSコマンドを実行される（CVE-2024-36475）
• 遠隔の第三者によって、任意のOSコマンドを実行されたり、機微な情報を窃取されたり、改ざんされたり、サービス運用妨害（DoS）攻撃を受ける（CVE-2024-36491、CVE-2020-10188）

CVE-2024-31070
開発者は、当該製品を初期設定のまま使用している場合、CLIコマンドを利用してTelnetを無効化し、SSHの利用を推奨しています。
なお、当該製品において2024/06/28以降にリリースされたファームウェアバージョンでは、初期設定でTelnetが無効化され、SSHが有効化されているとのことです。

CVE-2024-36475、CVE-2024-36491、CVE-2020-10188
アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。

現行製品の利用を停止し、後続製品に移行する
開発者によると、本件の影響を受ける製品群の一部は、すでにサポートが終了しているとのことです。
（参考：販売終息製品 | 製品情報）
これらサポートを終了した製品については、製品の使用停止もしくは後続製品への移行が推奨されています。

詳細は、開発者が提供する情報をご確認ください。