つみかさね

CVE-2025-67038

Critical(9.8)

Lantronix EDS5000のOSコマンドインジェクション CVE-2025-67038：影響範囲と対応方法

公開日: 2026-09-09データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
EDS5000Lantronix2.1.0.0R3

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1Lantronix EDS5000 を使用しているか、ファームウェアバージョンを確認する
  2. 2管理インターフェースを信頼できないネットワークから遮断する
  3. 3Lantronix 提供の修正ファームウェアを適用する

影響対象

Lantronix EDS5000 利用者

対応不要な人

  • ✓Lantronix EDS5000 を使用していない
  • ✓管理面が完全に隔離されている

補足

  • -CISA KEV 収録・悪用確認済みのため、ネットワーク分離を最優先で実施すること
CVELantronixOSコマンドインジェクションIoTKEV

30秒で判断

  • 対応すべき人: Lantronix EDS5000（シリアルデバイスサーバ）を利用しており、管理インターフェースがネットワークから到達可能な環境
  • 対応不要な人: 当該機器を使用していない、または管理面が完全に隔離されている環境
  • 確認コマンド: 機器のファームウェアバージョン（2.1.0.0R3 が対象）を確認、管理ポートの到達性を点検

概要

Lantronix EDS5000 の HTTP RPC モジュールに、OS コマンドインジェクションの脆弱性（CVSS 9.8）が見つかりました。

認証失敗時にログを書き込む処理で、username パラメータをサニタイズせずにシェルコマンドへ直接連結しているため、ユーザ名に注入した任意の OS コマンドが root 権限で実行され得ます。本脆弱性は CISA の Known Exploited Vulnerabilities (KEV) カタログに収録されており、実際の悪用が確認されています。認証は不要であるため、ネットワークから到達可能な機器は特に危険です。

CVSSベクトル

指標値
Attack VectorNetwork
Attack ComplexityLow
Privileges RequiredNone
User InteractionNone
CVSSスコア9.8 (Critical)

影響を受けるソフトウェア

製品バージョン
Lantronix EDS50002.1.0.0R3

修正バージョンと回避策

  • 対策: Lantronix のセキュリティ情報を確認し、修正ファームウェアを適用
  • 暫定対策（優先）: 管理インターフェースを信頼できないネットワークから遮断し、アクセス元を限定する

関連リンク

データソース: NVD (NIST), CISA AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-67038
CISA:https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。