Zyxel AP／Router 群の脆弱性 CVE-2024-12398 が FIX：深刻な権限昇格の可能性

Zyxel Urges Patch Application for Privilege Escalation Vulnerability (CVE-2024-12398)

2025/01/13 SecurityOnline — Zyxel が発行したアドバイザリは、複数のアクセス・ポイント (AP) とセキュリティ・ルーターに影響を及ぼす、新たに特定されたセキュリティ脆弱性 CVE-2024-12398 (CVSS：8.8) に関するものである。この脆弱性に直ちにパッチを適用し、潜在的な悪用からシステムを保護する必要ある。

この脆弱性は、特定の Zyxel AP および、ルーターのファームウェア・バージョンにおける、Web 管理インターフェイス内の不適切な権限管理の欠陥に起因する。Zyxel のアドバイザリには、「この問題により、権限が制限されている認証済みユーザーが、管理者の権限へと昇格し、脆弱なデバイス上にコンフィグ・ファイルをアップロードできるようになる。この不正なアクセスを達成した攻撃者は、影響を受けるデバイスを完全に制御できるようになる」と記されている。

すでに Zyxel は、影響を受ける製品群と、脆弱なファームウェア・バージョンをリストアップしている。そこに含まれるものには、NWA50AX／NWA55AXE／WAC500／WAX610D などの、広く使用されているモデルもある。 NWA50AX 用の 7.10(ABYW.1) などのファームウェア・バージョンは、この脆弱性を軽減するために更新されている。デバイス・モデルをベースにして、Zyxel のサポート・ページから、適切なパッチをダウンロードできる。

Zyxel のアドバイザリには、「ユーザーに対して推奨されるのは、これらのパッチをインストールして、最適な保護を実践することである。この問題に対して、対処が遅滞すると、不正な権限昇格や広範なネットワーク侵害にさらされる可能性が生じる」と記されている。

Zyxel AP／Router の脆弱性が FIX しました。影響が及ぶ範囲には、NWA50AX／NWA55AXE／WAC500／WAX610D などのモデルも含まれています。ご利用のチームは、ご注意ください。よろしければ、Zyxel で検索も、ご参照ください。