NETGEAR製Wi-Fiルーターに未修正のコマンドインジェクション脆弱性、国内販売製品では3機種が対象

「Nighthawk R7000」

　米CERT/CCは9日、NETGEAR製のWi-Fiルーター「Nighthawk R7000」と「Nighthawk R6400」において、コマンドインジェクションの脆弱性が存在することを公表した。修正版のファームウェアは現在提供されていない。

　CERT/CCによればエクスプロイトコードもすでに公開されており、修正ファームウェアの配布が開始されるまで、使用を停止するよう注意を喚起している。対象となるのは、Nighthawk R7000がファームウェアバージョン「1.0.7.2_1.1.93」以前、Nighthawk R6400がファームウェアバージョン「1.0.1.6_1.0.4」以前。このほか、NETGEARのユーザーコミュニティでは、「Nighthawk R8000」のファームウェアバージョン「1.0.3.4_1.1.2」以前でも、脆弱性が存在するとされている。

　この脆弱性が悪用された場合、ユーザーに細工を施したウェブサイトを閲覧させることで、攻撃者がリモートからroot権限でルーター上で任意のコマンドを実行できてしまう恐れがある。また、同一ネットワーク内からは、直接リクエストを送信して同様の攻撃を行うことが可能とのこと。共通脆弱性評価システム「CVSS v3」のスコアは9.3と高い。

　CERT/CCでは、ルーターのウェブサーバー機能を無効にするコマンドを一時的な回避策として紹介しているが、実行後はデバイスを再起動するまでウェブ管理画面が利用できなくなる。

　このうち、Nighthawk R7000はネットギア合同会社より国内販売されており、同社によれば現在確認中のこと。

【追記 18:40】
　ネットギア合同会社によれば、国内販売されている製品のうち脆弱性の対象となるのは、Nighthawk R7000に加えて、「Nighthawk X6 R8000」「Nighthawk X8 R8500」の計3機種。近日中に修正ファームウェアが提供予定で、リリース後は、同社の最新サポート情報ページで告知されるとのことだ。