Post-Auth OS Command Injection in GR140DG Router (CVE-2026-31195) Advisory

脆弱性の概要 脆弱性名称: 認証済みOSコマンドインジェクション (GR140DG ping診断ハンドラ、rootコンテキスト) CVE番号: CVE-2026-31195 CVSSスコア: 8.8 発見日: 2026-01-08 ベンダー通知日: 2026-01-15 公開発表日: 2026-06-04 影響範囲 対象製品: GR140DG フォトニックルーター（CPE） 影響を受けるバージョン: 3080020801E13, 3080020802B0A, 3080020803B0A 修正バージョン: 3080020803B08 修正方法 1. ファームウェアの適用: 3080020803B08 以降のバージョンにアップグレードします。 2. 設定による対策: WebUIへのアクセスをLANのみに制限し、WebUIの認証情報を定期的に交換し、リモート管理を無効にします。 3. 補完対策: ルーター管理インターフェースと信頼できないLANデバイスとの間でネットワークセグメンテーションを実施し、CPEからの不正なアウトバウンド通信を監視します。 POCコード その他情報 技術的詳細: この脆弱性は、ユーザー制御の入力を を通じて実行する に存在し、OSコマンドインジェクションを引き起こします。 実証コード: Python製のPoCで問題を確実にトリガー可能ですが、PoCコードは提供されていません。 参考リンク: - CVE-2026-31195 (cve.org) - CVE-2026-31195 (NVD) - CWE-78: OSコマンドで使用される特殊要素の不適切な中和 - CAPEC-88: OSコマンドインジェクション - XEROD-2026-0002 - 併せて参照すべきtracerouteに関する助言（同じ根本原因） 本公告の確認 XEROD署名鍵（指紋は公告インデックスに記載）をインポートし、その後: 改訂履歴 改訂版: 1.0 日付: 2026-06-04 変更内容: 初版公開。ファームウェアの修正は 3080020803B08 で利用可能。 添付ファイル XEROD-2026-0001.txt XEROD-2026-0001.txt.asc XEROD-2026-0001.json (CSAF 2.0)

目標達成 すべての支援者に感謝 — 100%達成しました！

Post-Auth OS Command Injection in GR140DG Router (CVE-2026-31195) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！