CVE-2019-25706

概要

Across DR-810 ルーター に 未認証 の ファイル 開示 脆弱性 が 存在 します。rom-0 エンドポイント に 認証 なし で GET リクエスト を 送信 する こと で、バックアップ ファイル を ダウンロード できます。バックアップ ファイル を 解凍 する と、ルーター の パスワード や その他 の 機密 設定 データ が 漏洩 します。この 種 の ルーター ファームウェア の バックアップ ファイル 開示 は、ZTE や ZynOS ベース の デバイス で も 過去 に 報告 されて おり、IoT 機器 に 共通 する 設計 上 の 問題 です。

影響 の 範囲

ルーター の 管理者 パスワード が 漏洩 する と、攻撃者 は ルーター の 完全 な 制御 権 を 取得 できます。これ に より、DNS 設定 の 改ざん に よる フィッシング サイト へ の 誘導、ネットワーク トラフィック の 傍受、内部 ネットワーク へ の 侵入 の 足がかり と して の 悪用 が 可能 と なります。特に ルーター が インターネット に 直接 露出 して いる 場合、Shodan 等 の 検索 エンジン で 発見 され 自動化 された 攻撃 の 標的 と なる リスク が あります。IoT 機器 は ファームウェア の 更新 頻度 が 低く、修正 パッチ が 提供 されない 場合 も 多い ため、ネットワーク レベル で の 防御 が 重要 です。該当 機器 の 利用者 は 早急 に 対策 を 実施 してください。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: 修正 バージョン は 確認 されて いません
• 回避策: ルーター の 管理 画面 を 外部 ネットワーク に 公開 しない。ファイアウォール で rom-0 エンドポイント へ の アクセス を ブロック する

関連 リンク

• NVD — CVE-2019-25706
• VulnCheck Advisory

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。