NETGEAR製Wi-Fiルーターに未修正のコマンドインジェクション脆弱性、米CERT/CCが公表

　米CERT/CCは9日、NETGEAR製のWi-Fiルーター「Nighthawk R7000」と「Nighthawk R6400」において、コマンドインジェクションの脆弱性が存在することを公表した。修正版のファームウェアは現在提供されていない。

　CERT/CCによればエクスプロイトコードもすでに公開されており、修正ファームウェアの配布が開始されるまで、使用を停止するよう注意を喚起している。対象となるのは、Nighthawk R7000がファームウェアバージョン「1.0.7.2_1.1.93」以前、Nighthawk R6400がファームウェアバージョン「1.0.1.6_1.0.4」以前。このほか、NETGEARのユーザーコミュニティでは、「Nighthawk R8000」のファームウェアバージョン「1.0.3.4_1.1.2」以前でも、脆弱性が存在するとされている。

　この脆弱性が悪用された場合、ユーザーに細工を施したウェブサイトを閲覧させることで、攻撃者がリモートからroot権限でルーター上で任意のコマンドを実行できてしまう恐れがある。また、同一ネットワーク内からは、直接リクエストを送信して同様の攻撃を行うことが可能とのこと。共通脆弱性評価システム「CVSS v3」のスコアは9.3と高い。

　CERT/CCでは、ルーターのウェブサーバー機能を無効にするコマンドを一時的な回避策として紹介しているが、実行後はデバイスを再起動するまでウェブ管理画面が利用できなくなる。

　このうち、Nighthawk R7000はネットギア合同会社より国内販売されており、同社では、現在詳細を確認中とのこと。