バッファローの法人向けVPNルーター「VR-S1000」の脆弱性にラックが注意喚起

　株式会社ラックは1月22日、株式会社バッファローが提供する法人向けVPNルーター「VR-S1000」における複数の脆弱性について注意喚起を発表した。

　「VR-S1000」における複数の脆弱性については、2023年12月25日にバッファローのサイトで公開されており、翌日にはJVN（Japan Vulnerability Notes）でも公開されている。影響を受けるシステムは次の通り。

・VR-S1000 ファームウェア Ver. 2.37 およびそれ以前

　公表された脆弱性は次の通り。

・OS コマンドインジェクション（CVE-2023-45741）
　CVSSによる基本値：6.8
・引数インジェクション（CVE-2023-46681）
　CVSSによる基本値：7.8
・ハードコードされた暗号鍵の使用（CVE-2023-46711）
　CVSSによる基本値：2.4
・情報漏えい（CVE-2023-51363）
　CVSSによる基本値：6.5

　このうち「情報漏えい（CVE-2023-51363）」の脆弱性は、ラックの飯田雅裕氏がIPAに報告している。同氏がラックで注意喚起を発表した。CVE-2023-51363の脆弱性は、当該製品のWeb管理画面に対して特定の方法でリクエストを送ることで、認証なしに当該製品内に存在する「機微な情報」を取得することが可能となるもので、重大なセキュリティインシデントにつながる可能性があるとしている。

　JVNでは、開発者が提供する情報をもとにファームウェアを最新版へアップデートするよう呼びかけている。また飯田氏は、インターネット上にWeb管理画面を公開している機器については「機微な情報」を取得された可能性があるため、ファームウェアのアップデート後、念のため「機微な情報」と想定されるものを変更することを推奨している。

　なお、CVE-2023-45741、CVE-2023-46681、CVE-2023-46711の脆弱性についてはは、NeroTeam Security LabsのThomas J. Knudsen氏、Samy Younsi氏がJPCERT/CCに報告を行っている。