セキュリティアドバイザリ(脆弱性およびCVE)2026年4月15日
皆様
本記事では、特定の GL.iNet KVM モデルで最近確認された脆弱性およびCVEの一覧をご案内します。
脆弱性およびCVEの影響を受けるファームウェアバージョンをご確認ください。該当する場合は、修正を含むファームウェアバージョンへできるだけ早くKVMをアップグレードすることを強く推奨します。
| モデル番号 | 影響を受けるファームウェアバージョン | 修正済みファームウェアバージョン |
|---|---|---|
| GL-RM1 | V1.8.1以前 | V1.8.2 |
| GL-RM10 | ||
| GL-RM10RC | ||
| GL-RM1PE | V1.8.0以前 |
CVE-2026-32290
- 概要:KVMがアップロードされたファームウェアファイルの真正性を十分に検証しません。
- 謝辞:Eclypsium
CVE-2026-32291
- 概要:KVMのUARTシリアルコンソールで認証が要求されません。
- 謝辞:Eclypsium
CVE-2026-32292
- 概要:中間者攻撃者、または侵害されたアップデートサーバーが、ファームウェアと対応するMD5ハッシュを変更して検証を通過させる可能性があります。
- 謝辞:Eclypsium
CVE-2026-32293
- 概要:中間者攻撃者、または侵害されたアップデートサーバーが、ファームウェアと対応するMD5ハッシュを変更して検証を通過させる可能性があります。
- 謝辞:Eclypsium
CVE-2026-5959
- 概要:ユーザーがデバイスにバインドした後にリセットしても、ユーザーとのバインド関係が解除されない脆弱性です。
- 謝辞:Dustin Eastman
これは議論ではなくお知らせです。セキュリティ上の不具合を報告する場合は、security@gl-inet.com までメールをお送りください。当社は脆弱性開示について90日間のポリシーを設けています。