NEC Aterm シリーズに複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月5日、NEC Atermシリーズにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。嘉代稜氏、佐藤勝彦氏、横浜国立大学の佐々木貴之氏と吉岡克成氏と森井裕大氏と乃万誉也氏が報告を行っている。影響を受けるシステムは以下のAtermシリーズ製品のすべてのバージョン。

CR2500P
MR01LN
MR02LN
W300P
W1200EX(-MS)
WF300HP
WF300HP2
WF800HP
WF1200HP
WF1200HP2
WG300HP
WG600HP
WG1200HP
WG1200HP2
WG1200HP3
WG1200HS
WG1200HS2
WG1200HS3
WG1400HP
WG1800HP
WG1800HP2
WG1800HP3
WG1800HP4
WG1810HP(JE)
WG1810HP(MF)
WG1900HP
WG1900HP2
WG2200HP
WM3400RN
WM3450RN
WM3500R
WM3600R
WM3800R
WR1200H
WR4100N
WR4500N
WR6600H
WR6650S
WR6670S
WR7800H
WR7850S
WR7870S
WR8100N
WR8150N
WR8160N
WR8165N
WR8166N
WR8170N
WR8175N
WR8200N
WR8300N
WR8370N
WR8400N
WR8500N
WR8600N
WR8700N
WR8750N
WR9300N
WR9500N

　日本電気株式会社が提供するAtermシリーズには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

不適切なアクセス権限付加（CVE-2024-28005）
→当該機器にTelnetでログインされた場合、機器の設定を変更され、root権限でシェルを実行される

認証情報の情報漏えい（CVE-2024-28006）
→機微な情報を窃取される

不適切なアクセス権限付加（CVE-2024-28007）
→当該機器のTelnetを有効化されログインされた場合、root権限でシェルを実行される

利用可能なデバッグ機能（CVE-2024-28008）
→当該機器にTelnetでログインされた場合、デバッグ機能を使用される

脆弱なパスワードの使用（CVE-2024-28009、CVE-2024-28012）
→ID、パスワードを推測され、Telnetにログインされる

ハードコードされた認証情報の使用（CVE-2024-28010）
→ID、パスワードを推測され、Telnetにログインされる

ドキュメント化されていない機能（CVE-2024-28011）
→ Telnetに無制限でアクセスされる

セッション管理不備（CVE-2024-28013）
→当該機器にログインせずに、機器の設定を変更される

バッファオーバーフロー（CVE-2024-28014）
→任意のコードを実行される

Web管理画面におけるOSコマンドインジェクション（CVE-2024-28015）
→当該機器のWeb管理画面にログイン後、任意のコマンドを実行される

機器情報の情報漏えい（CVE-2024-28016）
→機器の型番等の情報を窃取される

　JVNでは、開発者が提供する情報をもとにファームウェアを最新版へアップデートするか、ワークアラウンドを実施する
よう呼びかけている。また、一部製品はすでにサポートが終了しているため、後続製品への乗り換え等を検討するよう呼びかけている。