バッファローの無線ルーター/中継機にOSコマンドインジェクションの脆弱性。更新で対処

WSR-2533DHP

　株式会社バッファローは5日、Wi-Fiルーターや中継機の一部モデルに、OSコマンドインジェクション、およびドキュメント化されていないデバッグ機能が有効化されるといった脆弱性があることを発表した。対策ファームウェアの更新の配布で対処する。

　いずれの脆弱性も、管理画面にログイン可能な第三者によって攻撃可能なものとなっている。詳細および対象機種、対処済みファームウェアバージョンは下記の通り。

• CVE-2022-43466:OSコマンドインジェクション(CWE-78)。特定のCGIプログラムへ細工されたリクエストを送信されると、特定の管理画面を開いたときに任意のコマンドが実行される
• CVE-2022-43443:OSコマンドインジェクション(CWE-78)。管理画面に細工されたリクエストを送信されると、任意のコマンドが実行される
• CVE-2022-43486:ドキュメント化されていないデバッグ機能を有効化される問題(CWE-912)。デバッグ機能が不正に有効化され任意のコマンドが実行される