セキュリティアドバイザリ（脆弱性およびCVE）2024年8月1日
皆様
本記事では、特定の GL.iNet ルーターモデルで最近確認された脆弱性およびCVEの一覧をご案内します。なお、OpenWrt由来のCVEは含まれていません。
脆弱性およびCVEの影響を受けるファームウェアバージョンをご確認ください。該当する場合は、修正を含むファームウェアバージョンへできるだけ早くルーターをアップグレードすることを強く推奨します。
| モデル番号 | 影響を受けるファームウェアバージョン | 修正済みファームウェアバージョン |
|---|---|---|
| GL-MT6000 Flint 2 | V4.5.8以前 | V4.6.2 |
| GL-A1300 Slate Plus | V4.5.16以前 | V4.5.17 |
| GL-X300B Collie | ||
| GL-AX1800 Flint | V4.5.16以前 | V4.6.2 |
| GL-AXT1800 Slate AX | ||
| GL-MT2500 Brume 2 | ||
| GL-MT3000 Beryl AX | ||
| GL-X3000 Spitz AX | V4.4.8以前 | V4.4.9 |
| GL-XE3000 Puli AX | ||
| GL-XE300 Puli | V4.3.16以前 | V4.3.17 |
| GL-E750/GL-E750V2 Mudi | V4.3.12以前 | V4.3.17 |
| GL-X750 Spitz | V4.3.11以前 | V4.3.17 |
| GL-SFT1200 Opal | ||
| GL-AR300M Shadow | ||
| GL-AR300M16 Shadow | ||
| GL-AR750 Creta | ||
| GL-AR750S-EXT Slate | ||
| GL-B1300 Convexa-B | ||
| GL-MT1300 Beryl | ||
| GL-MT300N-V2 Mango | ||
| GL-AP1300 Cirrus | V3.217以前 | V3.218 |
| GL-B2200 Velica | V3.216以前 | V3.218 |
| GL-MV1000 Brume | ||
| GL-MV1000W Brume-W | ||
| GL-USB150 Microuter | ||
| GL-SF1200 | ||
| microuter-N300 | ||
| GL-S1300 Convexa-S |
CVE-2024-39225
- 概要：SIDのブルートフォースによる認証なしのリモートコード実行
- 謝辞：Bandar Alharbi https://github.com/aggressor0
CVE-2024-39226
- 概要：入力検証の不足により任意のコード実行につながる脆弱性
- 謝辞：Patrick Walker
CVE-2024-39227
- 概要：認可チェックまたはアクセス制御の不足、およびディレクトリトラバーサルにより、任意のコード実行につながる可能性がある脆弱性
- 謝辞：Patrick Walker
CVE-2024-39228
- 概要：ovpn apiによる認証済みリモートコード実行
- 謝辞：Manfred Heinz
CVE-2024-39229
- 概要：攻撃者がMACアドレスとSNを使用してDDNSのバインドIPアドレスを変更できる脆弱性
CVE-2024-3661
- 概要：dhcp option 121によるTunnelvision脆弱性
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-3661
これは議論ではなくお知らせです。セキュリティ上の不具合を報告する場合は、security@gl-inet.com までメールをお送りください。当社は脆弱性開示について90日間のポリシーを設けています。