バッファロー製のWi-Fiルーターに脆弱性、第三者による認証回避など

　情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンター（JPCERT/CC）は、バッファロー製の複数のWi-Fiルーター、Wi-Fi中継器、Wi-Fiアダプターなどネットワーク関連製品に、複数の脆弱性が存在することを発表した。

　今回発表された脆弱性は、ドキュメント化されていないデバッグ機能を有効化される問題（CVE-2022-39044）、ハードコードされた認証情報の使用（CVE-2022-34840）、認証回避（CVE-2022-40966）の3種類。

脆弱性が発見された「WZR-600DHP」

脆弱性により予想される影響と対策

　「CVE-2022-39044」では当該製品にログインしたユーザーによってデバッグ機能にアクセスされ、当該製品上で任意のOSコマンドが実行される、「CVE-2022-34840」では、隣接するネットワーク上の第三者より製品の設定を変更される、「CVE-2022-40966」では、隣接するネットワーク上の第三者により認証を回避され、不正アクセスされるなどの影響が想定される。

　対策方法として、開発者が提供するファームウェア更新を適用する方法があるが、影響を受けるシステムの中には、サポートが終了しアップデートが提供されない製品も含まれている。

　これらの製品を利用中のユーザーは、開発者が提供する情報を確認のうえ、当該製品の利用を停止し後継製品への乗り換えを検討するように促している。

　メーカーのバッファローのWebサイトでは、脆弱性の影響を受けるデバイスのリストと共に、ファームウェアの提供状況が公開されている。バッファローでは、今回発表された脆弱性を含む製品で、サポートが終了している製品について、恒久的な対策として製品の使用停止および、新商品への移行検討を促している。