重要な脆弱性情報 脆弱性名称: BYTEVALUE Intelligent Flow Control Router のコマンドインジェクション 深刻度: CRITICAL 日付: 2025年10月14日 影響範囲: 限られた情報に基づき、全バージョンが脆弱であるとみなされる CVE番号: CVE-2023-7311 CWE番号: CWE-78 OS コマンドにおける特殊要素の不適切な中和 ('OS Command Injection') CVSS スコア: 9.3 CVSS V4 ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 参考資料: - CSDN 開示 & PoC - Internet Storm Center 分析 - Nuclei テンプレート 発見者: CSDN 上の匿名ユーザー 説明: - BYTEVALUE Intelligent Flow Control Router には、/goform/webRead/open エンドポイント経由でコマンドインジェクション脆弱性があります。'path' パラメータの検証が不十分であり、シェルコンテキストにエコー出力されるため、攻撃者がデバイス上で任意のシェルコマンドをインジェクトして実行することができます。攻撃が成功すると、バックドアの書き込み、ホスト上での権限昇格、およびルーターとその管理機能の完全な乗っ取りにつながります。この脆弱性は、Rondo および Mirai ボットネットによって標的にされています。