30秒で判断
- 対応が必要な人: Chengdu Feiyuxing Technology製のルーター「VW2100」「VEC10GP」（ファームウェア 1.0 B-MB3W202-210825-r11775）を利用している人
- 対応不要な人: 上記機器を利用していない人、すでに別の対策済みファームウェアに切り替えている人
- 確認コマンド: 管理画面またはファームウェア情報表示から機種名・バージョンを確認（例: 管理UIの「システム情報」「ファームウェア情報」ページ）
概要
Chengdu Feiyuxing Technology製のルーター「VW2100」および「VEC10GP」に、OSコマンドインジェクションの脆弱性が見つかりました。Webサーバー内のWeixin認証エンドポイント（handle_wechat_cn_wifi機能）が受け取るextendパラメータの処理に問題があり、攻撃者がこのパラメータを操作することで、機器上で任意のOSコマンドを実行できる可能性があります。攻撃はネットワーク経由で遠隔から実行可能です。
本脆弱性のexploitはすでに公開されています。ベンダーには事前に連絡が行われましたが、応答がなかったと報告されています。現時点で公式な修正パッチの情報はありません。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 10.0 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響を受けるバージョン |
|---|---|---|
| VW2100 | Chengdu Feiyuxing Technology | 1.0 B-MB3W202-210825-r11775 |
| VEC10GP | Chengdu Feiyuxing Technology | 1.0 B-MB3W202-210825-r11775 |
修正バージョンと回避策
現時点でベンダーからの公式な修正バージョンの提供は確認できていません。ベンダーへの事前連絡にも応答がなかったとされているため、以下の回避策の適用を推奨します。
- 機器の管理画面やWeixin認証機能をインターネットから直接アクセスできないようにし、ファイアウォールやVPN経由でのみアクセス可能にする
- 不要であればWeixin認証機能自体を無効化する
- 機器のベンダーサイトで修正ファームウェアの提供状況を定期的に確認する
- サポートが終了している製品であるため、可能であれば後継機種への切り替えも検討する
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。