JVN#05223215
エレコム製無線 LAN ルーターおよび無線 LAN 中継器における複数の脆弱性

エレコム株式会社が提供する無線 LAN ルーターおよび無線 LAN 中継器には、複数の脆弱性が存在します。

CVE-2023-37560

• WRH-300WH-H v2.12 およびそれ以前のバージョン
• WTC-300HWH v1.09 およびそれ以前のバージョン

• WRH-300WH-H v2.12 およびそれ以前のバージョン
• WTC-300HWH v1.09 およびそれ以前のバージョン
• WTC-C1167GC-B v1.17 およびそれ以前のバージョン
• WTC-C1167GC-W v1.17 およびそれ以前のバージョン

• WTC-C1167GC-B v1.17 およびそれ以前のバージョン
• WTC-C1167GC-W v1.17 およびそれ以前のバージョン

• WRC-1167GHBK-S v1.03 およびそれ以前のバージョン
• WRC-1167GEBK-S v1.03 およびそれ以前のバージョン
• WRC-1167FEBK-S v1.04 およびそれ以前のバージョン
• WRC-1167GHBK3-A v1.24 およびそれ以前のバージョン
• WRC-1167FEBK-A v1.18 およびそれ以前のバージョン
• WRC-F1167ACF2 すべてのバージョン
• WRC-600GHBK-A すべてのバージョン
• WRC-733FEBK2-A すべてのバージョン
• WRC-1467GHBK-A すべてのバージョン
• WRC-1467GHBK-S すべてのバージョン
• WRC-1900GHBK-A すべてのバージョン
• WRC-1900GHBK-S すべてのバージョン

• WRC-1167GHBK-S v1.03 およびそれ以前のバージョン
• WRC-1167GEBK-S v1.03 およびそれ以前のバージョン
• WRC-1167FEBK-S v1.04 およびそれ以前のバージョン
• WRC-1167GHBK3-A v1.24 およびそれ以前のバージョン
• WRC-1167FEBK-A v1.18 およびそれ以前のバージョン

エレコム株式会社が提供する複数の無線 LAN ルーターおよび無線 LAN 中継器には、次の複数の脆弱性が存在します。

• クロスサイトスクリプティング (CWE-79) - CVE-2023-37560

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 6.1
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

• オープンリダイレクト (CWE-601) - CVE-2023-37561

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N	基本値: 4.7
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

• クロスサイトリクエストフォージェリ (CWE-352) - CVE-2023-37562

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	基本値: 4.3
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

• 情報漏えい (CWE-200) - CVE-2023-37563

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	基本値: 6.5
  CVSS v2	AV:A/AC:L/Au:N/C:P/I:N/A:N	基本値: 3.3

• OSコマンドインジェクション (CWE-78) - CVE-2023-37564

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:C/I:C/A:C	基本値: 7.7

• コードインジェクション (CWE-94) - CVE-2023-37565

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:P/I:P/A:P	基本値: 5.2

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログインした状態のユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2023-37560
• 細工された URL にアクセスすることで、任意のウェブサイトにリダイレクトされ、フィッシングなどの被害にあう - CVE-2023-37561
• 当該製品にログインした状態のユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる - CVE-2023-37562
• 当該製品にアクセスできる第三者によって、機微な情報を窃取される - CVE-2023-37563
• 当該製品にログイン可能な第三者によって、細工されたリクエストを送信され、root 権限で任意の OS コマンドを実行される - CVE-2023-37564
• 当該製品にログイン可能な第三者によって、細工されたリクエストを送信され、任意のコードを実行される - CVE-2023-37565

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。

現行製品の利用を停止し、後続製品に乗り換える
影響を受けるシステムの中には、すでにサポートが終了している製品が含まれます。
開発者が提供する情報を確認し、当該製品の使用を停止して後継製品への乗り換えを検討してください。