ホームゲートウェイ HGW-BL1500HM に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月19日、ホームゲートウェイHGW-BL1500HMにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。徐熙星（ソ・フィソン）氏が報告を行っている。影響を受けるシステムは以下の通り。

HGW-BL1500HM Ver 002.002.003およびそれ以前のバージョン

　KDDI株式会社が提供するホームゲートウェイHGW-BL1500HMには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・ニックネーム登録画面における格納型クロスサイトスクリプティング（CVE-2025-27567）
→当該製品のLAN側からのみアクセス可能な設定画面や機能を利用しているユーザーのウェブブラウザ上で任意のスクリプトを実行される

・USBストレージファイル共有機能における格納型クロスサイトスクリプティング（CVE-2025-27574）
→当該製品のLAN側からのみアクセス可能な設定画面や機能を利用しているユーザーのウェブブラウザ上で任意のスクリプトを実行される

・USBストレージファイル共有機能のファイル/フォルダ一覧表示処理におけるパストラバーサル（CVE-2025-27716）
→ LAN側から当該製品の特定機能への不正アクセスによって、当該製品上のファイルを窃取・改ざんされたり、任意のコードを実行される

・USBストレージファイル共有機能のファイルアップロード処理におけるパストラバーサル（CVE-2025-27718）
→ LAN側から当該製品の特定機能への不正アクセスによって、当該製品上のファイルを窃取・改ざんされたり、任意のコードを実行される

・USBストレージファイル共有機能のファイルダウンロード処理におけるパストラバーサル（CVE-2025-27726）
→ LAN側から当該製品の特定機能への不正アクセスによって、当該製品上のファイルを窃取・改ざんされたり、任意のコードを実行される

・USBストレージファイル共有機能のファイル削除処理におけるパストラバーサル（CVE-2025-27932）
→当該デバイス上のファイルを削除されたりサービス運用妨害 (DoS) 状態にされる

　JVNでは開発者が提供する情報をもとに、ファームウェアを最新版へアップデートするよう呼びかけている。