D-Linkは、同社の4G LTEルーター「DWR-M961」（ハードウェアリビジョンC1）のWeb管理インターフェースに影響する、報告済みの18件のセキュリティ問題に対応するファームウェアアップデートをリリースしました。
これらの脆弱性は15件のCVE識別子で管理されており、多数のコマンドインジェクションの問題に加え、3件のバッファオーバーフロー脆弱性が含まれています。
影響を受けるデバイスはファームウェアバージョン1.1.2_C1_202602110044を実行していました。D-Linkは、DWR-M961のC1ハードウェアリビジョン向けにリリースされたファームウェアバージョン1.1.5_C1_202607071108で、これらの報告済み問題に対応しました。
脆弱性の大半は、ルーターの管理用Webインターフェースが使用するCGIハンドラーに存在しています。コマンドインジェクションの問題は、FOTAアップデート機能、ネットワーク診断ツール、USSDおよびSMS操作、SIM設定、NTP設定、L2TPv3設定、WPS機能に影響します。
攻撃者が脆弱な管理インターフェースに細工した入力を送信できた場合、ルーター側で意図しないコマンドが処理される可能性があります。
D-Linkのアドバイザリによると、特に注目すべき領域はPing、Traceroute、Debugの各診断機能であり、ユーザーが制御可能なホスト値に脆弱性があることが報告されています。
L2TPv3の問題は、格納型コマンドインジェクションに分類されています。これは、ある設定リクエストを通じて細工したtunnelidまたはsessionidの値を保存し、その後の別のリクエストによって、保存された値がシステムコマンドで使用される仕組みになっています。
WPS関連の3件の脆弱性は、いずれもCVE-2026-71955として共通で管理されています。影響を受けるformWscハンドラーには、ローカルPIN、ピアPIN、対象SSIDの入力経路が含まれます。このうち1件では特に、二重引用符で囲まれたコマンドコンテキストにおいてドル記号文字の無害化が不十分であることが指摘されています。
D-Linkはまた、app.cgiとquicksetup.cgiにおけるバッファオーバーフロー脆弱性も修正しました。CVE-2026-71957は、app.cgi内のアクセス制御設定パス、具体的にはnetAcc.addlist[].nameオブジェクト値に影響します。
CVE-2026-71958は、quicksetup.cgiにおける2件の別個の脆弱性、すなわちtest4リクエスト処理の欠陥と、ssid2およびusernameに関わるWi-Fiおよび管理者設定パラメータのオーバーフローをカバーしています。
DWR-M961を利用しているユーザーは、自身のルーターがハードウェアリビジョンC1であることを確認したうえで、該当地域のD-Linkサポート窓口を通じてファームウェアバージョン1.1.5_C1_202607071108以降をインストールすることが推奨されます。
管理者は、ルーターのWebインターフェースからインストール済みバージョンを確認し、異なるハードウェアリビジョン向けのファームウェアを適用しないよう注意する必要もあります。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/d-link-fixes-18-security-flaws/
