| Title | エレコム製無線 LAN ルーターにおける複数の脆弱性 |
|---|---|
| Summary | エレコム株式会社が提供する複数の無線 LAN ルーターには、次の複数の脆弱性が存在します。 * OSコマンドインジェクション (CWE-78) - CVE-2024-25568 * OSコマンドインジェクション (CWE-78) - CVE-2024-26258 * 情報漏えい (CWE-200) - CVE-2024-29225 これらの脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 株式会社ゼロゼロワン 早川 宙也 氏 |
| Possible impacts | 想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。 * 第三者から細工されたリクエストを送信され、任意の OS コマンドを実行される - CVE-2024-25568 * 当該製品の認証情報を持つユーザから細工されたリクエストを送信され、任意の OS コマンドを実行される - CVE-2024-26258 * 第三者から細工されたリクエストを送信され、機微な情報を含んだ設定ファイルを窃取される - CVE-2024-29225 |
| Solution | [アップデートする] 開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。 |
| Publication Date | March 26, 2024, midnight |
| Registration Date | March 27, 2024, 1:36 p.m. |
| Last Update | May 15, 2026, 3:30 p.m. |
| CVSS3.0 : 重要 | |
| Score | 8.8 |
|---|---|
| Vector | CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CVSS2.0 : 警告 | |
| Score | 5.8 |
|---|---|
| Vector | AV:A/AC:L/Au:N/C:P/I:P/A:P |
| エレコム株式会社 |
| WMC-2LX-B v1.42およびそれ以前のバージョン (CVE-2024-26258、CVE-2024-29225) |
| WMC-X1800GST-B v1.41およびそれ以前のバージョン (CVE-2024-25568) |
| WMC-X1800GST-B v1.42およびそれ以前のバージョン (CVE-2024-26258、CVE-2024-29225) |
| WRC-1167GST2 v1.32およびそれ以前のバージョン (CVE-2024-26258) |
| WRC-2533GST2 v1.30およびそれ以前のバージョン (CVE-2024-26258) |
| WRC-G01-W v1.24およびそれ以前のバージョン (CVE-2024-25568、CVE-2024-26258、CVE-2024-29225) |
| WRC-X3200GST3-B v1.25およびそれ以前のバージョン (CVE-2024-25568、CVE-2024-26258、CVE-2024-29225) |
| WSC-X1800GS-B v1.42およびそれ以前のバージョン (CVE-2024-26258、CVE-2024-29225) |
| No | Changed Details | Date of change |
|---|---|---|
| 3 | [2024年08月28日] ベンダ情報：参考情報 (JVNVU#95381465) の更新に伴い内容を更新 影響を受けるシステム：内容を更新 |
Aug. 28, 2024, 3:22 p.m. |
| 4 | [2024年11月27日] 影響を受けるシステム：内容を更新 |
Nov. 27, 2024, 11:55 a.m. |
| 5 | [2026年05月15日] 影響を受けるシステム：内容を更新 ベンダ情報：内容を更新 |
May 14, 2026, 6:43 p.m. |
| 1 | [2024年03月27日] 掲載 | March 27, 2024, 12:18 p.m. |
| 2 | [2024年05月29日] タイトル：内容を更新 概要：内容を更新 影響を受けるシステム：内容を更新 |
May 29, 2024, 10:46 a.m. |
| Summary | OS command injection vulnerability in ELECOM wireless LAN routers allows a network-adjacent unauthenticated attacker to execute arbitrary OS commands by sending a specially crafted request to the product. Affected products and versions are as follows: WRC-X3200GST3-B v1.25 and earlier, WRC-G01-W v1.24 and earlier, and WMC-X1800GST-B v1.41 and earlier. Note that WMC-X1800GST-B is also included in e-Mesh Starter Kit "WMC-2LX-B". |
|---|---|
| Publication Date | April 4, 2024, 9:15 a.m. |
| Registration Date | April 4, 2024, 4 p.m. |
| Last Update | Nov. 21, 2024, 6:01 p.m. |
| Summary | OS command injection vulnerability in ELECOM wireless LAN routers allows a network-adjacent attacker with credentials to execute arbitrary OS commands by sending a specially crafted request to the product. |
|---|---|
| Publication Date | April 4, 2024, 9:15 a.m. |
| Registration Date | April 4, 2024, 4 p.m. |
| Last Update | Nov. 21, 2024, 6:02 p.m. |
| Summary | WRC-X3200GST3-B v1.25 and earlier, and WRC-G01-W v1.24 and earlier allow a network-adjacent unauthenticated attacker to obtain the configuration file containing sensitive information by sending a specially crafted request. |
|---|---|
| Publication Date | April 4, 2024, 9:15 a.m. |
| Registration Date | April 4, 2024, 4 p.m. |
| Last Update | Nov. 21, 2024, 6:07 p.m. |