- TP-LinkはOmadaゲートウェイの4つの脆弱性にパッチを適用、うち2件はコード実行の重大な脆弱性
- 3件はコマンドインジェクションのバグ、1件は権限管理の不備によりrootシェル取得が可能
- 複数モデルが影響、1件の重大な脆弱性は認証不要で悪用可能
ネットワーク機器メーカーのTP-Linkは、Omadaゲートウェイ製品に発見された4件の脆弱性にパッチを適用しました。このうち2件は任意のコード実行を許す重大な脆弱性です。
TP-Linkはセキュリティアドバイザリで、4件中3件がコマンドインジェクションの脆弱性であると発表しました。4件目は不適切な権限管理の脆弱性です。
重大レベルの2件はいずれもコマンドインジェクションの脆弱性であり、CVE-2025-6542およびCVE-2025-7850として追跡されています。いずれも深刻度スコアは9.3/10です。後者は攻撃者がウェブポータルの管理者権限を持っている必要がありますが、前者は認証が不要です。
多数のモデルが影響
他の2件はCVE-2025-6541（スコア8.6/10）およびCVE-2025-7851として追跡されています。前者はウェブ管理インターフェースにアクセスできるユーザーによって悪用可能で、後者は不適切な権限管理の脆弱性であり、攻撃者が基盤となるオペレーティングシステム上でrootシェルを取得できるものです。
複数の製品モデルおよびバージョンが影響を受けるとされています。以下が全リストです：
ER8411 < 1.3.3 Build 20251013 Rel.44647
ER7412-M2 < 1.1.0 Build 20251015 Rel.63594
ER707-M2 < 1.3.1 Build 20251009 Rel.67687
ER7206 < 2.2.2 Build 20250724 Rel.11109
ER605 < 2.3.1 Build 20251015 Rel.78291
ER706W < 1.2.1 Build 20250821 Rel.80909
ER706W-4G < 1.2.1 Build 20250821 Rel.82492
ER7212PC < 2.1.3 Build 20251016 Rel.82571
G36 < 1.1.4 Build 20251015 Rel.84206
G611 < 1.2.2 Build 20251017 Rel.45512
FR365 < 1.1.10 Build 20250626 Rel.81746
FR205 < 1.0.3 Build 20251016 Rel.61376
FR307-M2 < 1.2.5 Build 20251015 Rel.76743
TP-Linkは、これらの脆弱性が実際に悪用されているかどうかについては言及していません。しかし、サイバー犯罪者は企業がアドバイザリを公開するのを待ってから攻撃を仕掛けることが多く、多くの組織が修正をすぐに適用しないことを知っています。
