ELECOM Router CVEs: Reflected XSS and OS Command Injection Vulnerabilities

脆弱性の概要 ELECOMの無線LANルーターおよびアクセスポイントに、以下の複数の脆弱性が存在します： 1. Web UIにおけるリフレクティブクロスサイトスクリプティング（CWE-79） - CVE-2026-44387 - CVSS 4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/SC:N/SA:L/SL:SA/N ベーススコア 5.1 - CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:A/N ベーススコア 5.2 2. Web UIにおけるOSコマンドインジェクション（CWE-78） - CVE-2026-59764 - CVSS 4.0: AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VE:H/VA:H/SC:N/SE:N/SA:N ベーススコア 8.6 - CVSS 3.0: AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H ベーススコア 7.2 3. 初期化（ファクトリーリセット）におけるOSコマンドインジェクション（CWE-78） - CVE-2026-61376 - CVSS 4.0: AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VE:H/VA:H/SC:N/SE:N/SA:N ベーススコア 8.6 - CVSS 3.0: AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H ベーススコア 7.2 影響範囲 リフレクティブクロスサイトスクリプティング（CVE-2026-44387）：ログイン済みユーザーのWebブラウザで任意のスクリプトが実行される可能性があります。 OSコマンドインジェクション（CVE-2026-59764, CVE-2026-61376）：製品にログイン可能な攻撃者が任意のOSコマンドを実行する可能性があります。 対策方法 ファームウェアの更新：開発者からの情報に基づき、ファームウェアを最新版へ更新してください。 影響を受ける製品 CVE-2026-44387, CVE-2026-61376 - WAB-M1775-PS v2.1.9 未満 - WAB-S1775 v2.1.9 未満 - WAB-M2133 v2.0.5 未満 - WAB-11750-PS v2.0.5 未満 - WAB-S1167-PS v2.0.5 未満 CVE-2026-59764 - WRC-X3000GS3-B v1.06 未満 - WRC-X3000GS3A-B v1.06 未満 参考情報 JPCERT/CC 付録 JPCERT/CC による脆弱性解析 報告者情報 CVE-2026-44387：GMO Cybersecurity by Iera, Inc. の Kentarou Ishii 氏が IPA に報告。JPCERT/CC が情報セキュリティ早期警戒パートナーシップの下で開発者と調整しました。 CVE-2026-59764：三井物産セキュアディレクションズ株式会社 の Hiromi Tanabe 氏が IPA に報告。JPCERT/CC が情報セキュリティ早期警戒パートナーシップの下で開発者と調整しました。 CVE-2026-61376：Rittai Kosawagi 氏が ELECOM CO.,LTD. に報告し調整完了後、ELECOM CO.,LTD. が JPCERT/CC に報告し、JVN 経由でユーザーにソリューションを通知しました。 その他 JPCERT アラート JPCERT レポート CERT アドバイザリー CPNI アドバイザリー TRnotes CVE - CVE-2026-44387 - CVE-2026-59764 - CVE-2026-61376 JVN iPedia - JVNB-2026-000103 著作権 © 2000-2026 JPCERT/CC and IPA. All rights reserved.

目標達成 すべての支援者に感謝 — 100%達成しました！

ELECOM Router CVEs: Reflected XSS and OS Command Injection Vulnerabilities

目標達成すべての支援者に感謝 — 100%達成しました！