エレコム製無線 LANルータに複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月24日、エレコム製無線LANルータにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。Tien Phan氏、IssueHunt株式会社の湯澤凱貴氏、NECフィールディング株式会社の河内愛実氏、日本電気株式会社の外山拓氏、株式会社ゼロゼロワンの早川宙也氏が報告を行っている。影響を受けるシステムは以下の通り。

・CVE-2025-36519
WRC-2533GST2 v1.31およびそれ以前のバージョン
WRC-1167GST2 v1.34およびそれ以前のバージョン

・CVE-2025-41427
WRC-X3000GS v1.0.34およびそれ以前のバージョン
WRC-X3000GSA v1.0.34およびそれ以前のバージョン
WRC-X3000GSN v1.0.9およびそれ以前のバージョン

・CVE-2025-43877
WRC-1167GHBK2-S すべてのバージョン

・CVE-2025-43879、CVE-2025-48890
WRH-733GBK すべてのバージョン
WRH-733GWH すべてのバージョン

　エレコム株式会社が提供する無線LANルータには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・アップロードファイルの検証不備（CVE-2025-36519）
→当該製品にログイン可能な攻撃者によって特別に細工されたファイルをアップロードされた場合、任意のコードを実行される

・接続確認画面におけるOSコマンドインジェクション（CVE-2025-41427）
→当該製品にログインしたユーザによって細工されたリクエストを送信された場合、任意のOSコマンドを実行される

・Web管理画面における格納型クロスサイトスクリプティング（CVE-2025-43877）
→当該製品のWeb管理画面にアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される

・telnet機能におけるOSコマンドインジェクション（CVE-2025-43879）
→当該製品に細工されたリクエストを送信された場合、任意のOSコマンドを実行される

・miniigd SOAPサービスにおけるOSコマンドインジェクション（CVE-2025-48890）
→当該製品に細工されたリクエストを送信された場合、任意のOSコマンドを実行される

　JVNでは、下記の対策を呼びかけている。

・CVE-2025-36519、CVE-2025-41427
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートする。

・CVE-2025-43877
当該製品はすでにサポートが終了しているため、後継製品への乗り換え等を検討する。

・CVE-2025-43879、CVE-2025-48890
当該製品はすでにサポートが終了しているため、後継製品への乗り換え等を検討する。