30秒で判断
- 対応すべき人: rConfig Core 8.0.0〜8.2.18、またはrConfig Pro 8.4.1未満を運用している方
- 対応不要な人: rConfigを使用していない方、すでにrConfig Core 8.2.19以降・rConfig Pro 8.4.1以降にアップデート済みの方
- 確認コマンド:
rconfigの管理画面またはパッケージ情報からバージョンを確認。Redisが外部から到達可能になっていないかファイアウォール設定も確認
概要
rConfigはネットワーク機器の設定管理に使われるオープンソースツールです。今回の脆弱性は、Redisを経由したLaravel Horizonのジョブキュー処理において、信頼できないデータのデシリアライゼーション（Deserialization of Untrusted Data）が発生することが原因です。
Redisのキューに不正なシリアライズ済みジョブを送り込むことで、認証なしのネットワーク経由の攻撃者が任意のコードを実行できる可能性があります。影響を受ける環境ではRedisが認証なしで動作しているケースがあり、Redisに直接到達できない場合でも、認証済みの攻撃者がデバイスのターゲット設定を悪用してペイロードを配信できるとされています。影響を受けると、データベースの認証情報や保存された機器の認証情報、APIトークンなどが読み取られるおそれがあります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク経由 |
| 認証要否 | 不要（想定環境では） |
| 影響 | 機密性・完全性・可用性に高い影響 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| rConfig Core | 8.0.0 以上 8.2.19 < |
| rConfig Pro | 8.4.1 < |
修正バージョンと回避策
rConfig Coreは8.2.19、rConfig Proは8.4.1でそれぞれ修正されています。該当バージョンへのアップデートを推奨します。アップデートがすぐに行えない場合は、Redisをネットワーク境界の外部からアクセスできないように制限し、認証を有効化することが回避策として有効です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。