NEC製の ワイヤレスVPNルータ UNIVERGE WA シリーズ OS コマンドインジェクションの脆弱性 CVE-2022-25621が発見されたそうです。
VPNとして利用している場合は、とても危険なので注意が必要です。
情報元はこちら
JVN#72801744: UNIVERGE WA シリーズにおける OS コマンドインジェクションの脆弱性
以下は抜粋です。
===
影響を受けるシステム
UNIVERGE WA シリーズ Ver8.2.11 およびそれ以前
詳細情報
NECプラットフォームズ株式会社が提供する UNIVERGE WA シリーズ主装置の「保守用 ローカルコンソール/リモートコンソール/Web コンソール」の保守機能には OS コマンドインジェクション (CWE-78) の脆弱性が存在します。
想定される影響
当該製品へアクセス可能な第三者によって、特殊な文字列または、特定の URL に対して細工されたリクエストを送信されることで、任意のコマンドを実行されたり、システムがサービス運用妨害 (DoS) 状態にされたりする可能性があります。
対策方法
アップデートする
開発者が提供する情報を元に、ソフトウェアのアップデートを行ってください。
開発者は、本脆弱性を修正したバージョンをリリースしています。
UNIVERGE WA シリーズ Ver8.2.13 およびそれ以降
なお、アップデートの入手方法については購入元の販売店へお問い合わせください。
ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
・機器へのネットワーク接続に対して、送信元 IP アドレス/宛先 IP アドレス/ポート番号に基づくアクセスルールを明示的に作成する
・不正ユーザのログインを回避するため、ID/パスワード認証用のユーザ名、パスワードを初期設定から変更する
・パスワードは、強度の高い文字列を設定する (8文字以上で大文字/小文字/数字混在のものを推奨)
メーカーの情報はこちら
UNIVERGE WA シリーズ: UNIVERGE 製品一覧 | NEC
ソフトウェアのアップデートができるなら対応したほうがいいですね。
 |
