Trusted DesignCVE-2024-11667 の詳細
CVEの情報
説明:
A directory traversal vulnerability in the web management interface of Zyxel ATP series firmware versions V5.00 through V5.38, USG FLEX series firmware versions V5.00 through V5.38, USG FLEX 50(W) series firmware versions V5.10 through V5.38, and USG20(W)-VPN series firmware versions V5.10 through V5.38 could allow an attacker to download or upload files via a crafted URL.
CVE更新日: 2024-11-27 10:15:04.210000
CVSSバージョン: 3.1
CVSSスコア: 7.5
KEVの情報
KEV更新日: 2024-12-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.029290000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2024-11667について、以下の観点で解説します。
1. 脆弱性の概要
Zyxel製ネットワーク機器のWeb管理インターフェースにおけるディレクトリトラバーサルの脆弱性です。 この脆弱性は、ユーザーが提供する入力の不十分なサニタイズまたは検証に起因し、細工されたURLを介して認証されていない攻撃者がデバイスのファイルシステムから任意のファイルをダウンロードまたはアップロードすることを可能にします。これにより、機密設定ファイルへの不正アクセス、資格情報の抽出、悪意のあるコードの注入、またはデバイス全体の乗っ取りにつながる可能性があります。
1.1 影響
認証されていない攻撃者が細工されたURLをWeb管理インターフェースに送信することで、脆弱なZyxelデバイスのファイルシステムから任意のファイルをダウンロードまたはアップロードできる可能性があります。これにより、ネットワークのセキュリティ体制を損ない、機密設定ファイルへの不正アクセス、資格情報の抽出、悪意のあるコードの注入、またはデバイスの完全な侵害につながる可能性があります。 実際に、この脆弱性はHelldownランサムウェアの展開に悪用された事例が報告されています。
1.2 深刻度
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は特定のOSバージョンではなく、Zyxel製品のファームウェアバージョンに影響を及ぼします。影響を受ける製品シリーズとファームウェアバージョンは以下の通りです。
2.2 影響を受ける設定
Web管理インターフェースにおけるディレクトリトラバーサル (CWE-22) の問題が技術的な根本原因であり、これは通常、ファイルパスを構築するために使用されるユーザー提供入力の不十分なサニタイズまたは検証によって発生します。
3. 影響を受けた時の兆候
具体的なログやシステム動作に関する兆候の詳細は提供された情報からは不明ですが、以下のような事象が兆候として考えられます。
4. 推奨対策
4.1 本対策
影響を受けるZyxel製品のファームウェアを、脆弱性が修正された最新バージョンにできるだけ早くアップグレードすることが推奨されます。
4.2 暫定回避策（緩和策）
提供された情報からは、特定の暫定回避策は明記されていません。しかし、一般的なセキュリティ対策として、Web管理インターフェースへのアクセスを信頼できないネットワークから制限することが推奨されます。
参照したサイト