Last Updated on 2024-06-05 18:52 by 荒木 啓介
Zyxelは、現在エンドオブライフ(EoL)状態にある2つのネットワーク接続ストレージ(NAS)デバイスに影響を与える重大な脆弱性に対処するためのセキュリティアップデートをリリースしました。これらの脆弱性のうち3つが悪用されると、認証されていない攻撃者が影響を受けるインストール上でオペレーティングシステム(OS)コマンドと任意のコードを実行できる可能性があります。影響を受けるモデルは、NAS326（バージョンV5.21(AAZF.16)C0およびそれ以前）とNAS542（バージョンV5.21(ABAG.13)C0およびそれ以前）です。これらの問題は、それぞれのバージョンV5.21(AAZF.17)C0とV5.21(ABAG.14)C0で解決されました。
脆弱性の概要は以下の通りです。
– CVE-2024-29972: CGIプログラム「remote_help-cgi」におけるコマンドインジェクション脆弱性。認証されていない攻撃者が特別に細工されたHTTP POSTリクエストを送信することで、いくつかのOSコマンドを実行できる。
– CVE-2024-29973: 「setCookie」パラメータにおけるコマンドインジェクション脆弱性。認証されていない攻撃者が特別に細工されたHTTP POSTリクエストを送信することで、いくつかのOSコマンドを実行できる。
– CVE-2024-29974: CGIプログラム「file_upload-cgi」におけるリモートコード実行脆弱性。認証されていない攻撃者が特別に細工された設定ファイルをアップロードすることで、任意のコードを実行できる。
– CVE-2024-29975: SUID実行可能バイナリにおける不適切な権限管理の脆弱性。管理者権限を持つ認証されたローカル攻撃者が、’root’ユーザーとしていくつかのシステムコマンドを実行できる。
– CVE-2024-29976: コマンド「show_allsessions」における不適切な権限管理の脆弱性。認証された攻撃者が影響を受けるデバイス上でログイン中の管理者のセッション情報（クッキーを含む）を取得できる。
これらの脆弱性は、Outpost24のセキュリティ研究者Timothy Hjortによって発見および報告されました。認証を必要とする2つの権限昇格の脆弱性は未修正のままです。これらの問題が野外で悪用された証拠はありませんが、最適な保護のために最新バージョンへの更新が推奨されます。
【ニュース解説】
Zyxelが、同社のエンドオブライフ（EoL）状態にある2つのネットワーク接続ストレージ（NAS）デバイスに影響を与える重大な脆弱性に対応するためのセキュリティアップデートをリリースしたことが報告されました。これらの脆弱性は、認証されていない攻撃者が影響を受けるデバイス上でオペレーティングシステム（OS）コマンドや任意のコードを実行することを可能にするもので、特に3つの脆弱性が悪用されるリスクが指摘されています。対象となるNASデバイスモデルは、NAS326とNAS542で、それぞれ特定のバージョン以前で影響を受けることが明らかにされています。
このような脆弱性が存在することは、ネットワーク接続ストレージデバイスのユーザーにとって大きなセキュリティリスクをもたらします。特に、NASデバイスは企業や個人が大量のデータを保存・共有するために広く利用されているため、これらの脆弱性が悪用されることによって重要な情報が漏洩する可能性があります。また、攻撃者がシステムコマンドを実行できるようになると、システムの完全な制御を奪われる恐れもあり、これによってさらに深刻なセキュリティインシデントにつながる可能性があります。
Zyxelによる迅速なパッチリリースは、これらのリスクを軽減するための重要なステップですが、ユーザー側でも最新のセキュリティアップデートを適用することが極めて重要です。特に、エンドオブライフに達した製品に対するサポートは限られているため、ユーザーはセキュリティアップデートの適用に加え、長期的な観点から製品の更新や代替品への移行を検討する必要があります。
この事例は、製品のライフサイクル管理とセキュリティ維持の重要性を浮き彫りにします。製品がエンドオブライフに達した後も、未解決のセキュリティ脆弱性が存在する場合、製造元が継続してセキュリティサポートを提供することの重要性が示されています。また、ユーザーにとっては、セキュリティアップデートの適用を怠らず、セキュリティリスクを適切に管理するための対策を講じることが求められます。
最終的に、このような脆弱性への対応は、製品の製造元とユーザー双方の責任となります。製造元はセキュリティアップデートの提供を通じて製品の安全性を保証する責務があり、ユーザーはこれらのアップデートを迅速に適用し、セキュリティ対策を常に最新の状態に保つことが重要です。
from Zyxel Releases Patches for Firmware Vulnerabilities in EoL NAS Models.
