NETGEAR製ルーターの多くにパスワード漏えいの脆弱性、更新ファームウェアは一部のみ提供

　多くのNETGEAR製ルーターにおいて、パスワードリカバリー機能が無効になっている間に、ウェブ管理画面へのログインパスワードが漏えいする脆弱性が存在する。米NETGEARでは、ファームウェアを最新版に更新することを推奨している。

　パスワード漏えいの可能性がある脆弱性「CVE-2017-5521」は、攻撃者がローカルネットワークにアクセスできる場合に加え、デフォルトではオフになっている「リモート管理」がルーターで有効になっていれば悪用される可能性がある。米国立標準技術研究所（NIST）による共通脆弱性評価システムCVSS v3のスコアは8.1と高い。

　対象となる製品には、日本国内で販売している製品も含まれている。対象となるルーター製品の一部では、問題を修正したファームウェアが提供されている。

　しかし、更新ファームウェアが提供されていない製品も存在しているため、NETGEARでは、手動でデバイスのパスワード回復機能を有効にした上で、リモート管理を無効にする回避策の実行を強く推奨している。両方の手順を行わなければ、パスワードが漏えいする可能性がある。

　米セキュリティ企業のTrustwaveによれば、簡単なcgiコードによりこの脆弱性が悪用できるとのこと。調査では、1万台以上のデバイスが、リモートでこの脆弱性を悪用できる状態。実際には数十万人～100万人以上のユーザーが影響を受ける可能性があるという。また、この脆弱性に対する実証コードも公表している。