Nokia Single RAN Shell Injection Vulnerability (CVE-2025-24333) Analysis

重要脆弱性情報 脆弱性情報識別子 CVE番号: CVE-2025-24333 脆弱性の種類 種類: Shell インジェクション CVSSスコア CVSSベクター: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H CVSSスコア: 6.4 説明 Nokia Single RAN基地局ソフトウェアにおいて、バージョン24R1-SR 1.0 MPより古いバージョンには、管理ユーザーのシェル入力検証に欠陥が存在します。認証された管理者は、基地局内部の ファイルに特殊文字を追加することで任意のコマンドをインジェクトし、権限のない基地局OAMサービスプロセス内でそれを実行することができます。 この脆弱性は、移動端末デバイス（UE）、移動ネットワーク、またはインターネットなど、移動ネットワーク事業者（MNO）の内部アーキテクチャ外からはアクセスできません。報告された問題は、バージョン24R1-SR 1.0 MPより古いソフトウェアにおいて、認証されたSingle RAN基地局の管理ユーザーがMNO内の無線アクセスネットワーク（RAN）管理ネットワークにアクセスする場合にのみ存在します。 現在、この管理ユーザーのシェル入力検証欠陥に対する実際のエクスプロイトコードは報告されていません。本問題は、OAMサービスプロセスに適切な入力検証を追加し、基地局内部の ファイル経由での特殊文字インジェクトを防止することにより、バージョン24R1-SR 1.0 MP以降で修正済みです。 影響を受ける製品およびバージョン 製品: Nokia Single RAN バージョン: 24R1-SR 1.0 MPより古いすべてのバージョン 緩和策 修正プログラムは、バージョン24R1-SR 1.0 MP以降に含まれています。 謝辞 Guillaume Telsier (P1 Security France) Laurent Ghigoris (P1 Security France) Radu Reiser (Bell Mobility Canada) Myphra Pestl (Bell Mobility Canada) 参照資料 なし

目標達成 すべての支援者に感謝 — 100%達成しました！

Nokia Single RAN Shell Injection Vulnerability (CVE-2025-24333) Analysis

目標達成すべての支援者に感謝 — 100%達成しました！