バッファロー製ネットワーク機器に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月9日、バッファロー製ネットワーク機器における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ゼロゼロワンの早川宙也氏が報告を行っている。影響を受けるシステムは以下の通り。

・OSコマンドインジェクション（CVE-2022-43466）
WSR-3200AX4S ファームウェア Ver. 1.26 およびそれ以前
WSR-3200AX4B ファームウェア Ver. 1.25
WSR-2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-A2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-A2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-2533DHPL2 ファームウェア Ver. 1.03 およびそれ以前
WSR-2533DHPLS ファームウェア Ver. 1.07 およびそれ以前
WEX-1800AX4 ファームウェア Ver. 1.13 およびそれ以前
WEX-1800AX4EA ファームウェア Ver. 1.13 およびそれ以前

・OSコマンドインジェクション（CVE-2022-43443）
WSR-3200AX4S ファームウェア Ver. 1.26 およびそれ以前
WSR-3200AX4B ファームウェア Ver. 1.25
WSR-2533DHP ファームウェア Ver. 1.08 およびそれ以前
WSR-2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-A2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-A2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-2533DHPL ファームウェア Ver. 1.08 およびそれ以前
WSR-2533DHPL2 ファームウェア Ver. 1.03 およびそれ以前
WSR-2533DHPLS ファームウェア Ver. 1.07 およびそれ以前
WCR-1166DS ファームウェア Ver. 1.34 およびそれ以前

・ドキュメント化されていないデバッグ機能を有効化される問題（CVE-2022-43486）
WSR-3200AX4S ファームウェア Ver. 1.26 およびそれ以前
WSR-3200AX4B ファームウェア Ver. 1.25
WSR-2533DHP ファームウェア Ver. 1.08 およびそれ以前
WSR-2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-A2533DHP2 ファームウェア Ver. 1.22 およびそれ以前
WSR-2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-A2533DHP3 ファームウェア Ver. 1.26 およびそれ以前
WSR-2533DHPL ファームウェア Ver. 1.08 およびそれ以前
WSR-2533DHPL2 ファームウェア Ver. 1.03 およびそれ以前
WSR-2533DHPLS ファームウェア Ver. 1.07 およびそれ以前
WCR-1166DS ファームウェア Ver. 1.34 およびそれ以前
WEX-1800AX4 ファームウェア Ver. 1.13 およびそれ以前
WEX-1800AX4EA ファームウェア Ver. 1.13 およびそれ以前

　想定される影響は各脆弱性により異なるが、下記のような影響を受ける可能性がある。

当該機器の管理画面にログイン可能な第三者に特定のCGIプログラムへ細工されたリクエストを送信されると、特定の管理画面を開いたときに任意のコマンドが実行される（CVE-2022-43466）

当該機器にアクセス可能な第三者に管理画面に細工されたリクエストを送信されると、任意のコマンドが実行される（CVE-2022-43443）

当該機器の管理画面にログイン可能な第三者にデバッグ機能が不正に有効化され、任意のコマンドが実行される（CVE-2022-43486）

　JVNでは、開発者が提供する情報をもとに、最新版にアップデートするよう呼びかけている。