H3C Magic NX15にコマンド実行の弱点、手法は公開済み
H3C Magic NX15 の 100R017 に、ネットワーク経由で機器上の任意の OS コマンドを実行されるおそれのある弱点(CVE-2026-112370)が見つかりました。攻撃手法はすでに公開されていますが、修正版の有無は公表されていません。この機器を使っている組織は、管理画面への到達範囲を絞り、ベンダーの告知を確認してください。
急ぎ度: 早めに
CVSS は 9.9 で、攻撃手法が公開済みなのに修正版が公表されていないため、機器を守る手段が到達範囲の制限などに限られるからです。
関係があるか
H3C Magic NX15 を事業所や拠点、在宅勤務環境などで使っている組織が対象です。特に、管理機能や利用者向けの機能にインターネット側や広い社内ネットワークから届く構成は注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| H3C Magic NX15 | 100R017 | 公表されていません |
確かめ方
- 1社内の機器台帳や設置場所を確認し、H3C Magic NX15 が使われているかを調べます。機器本体のラベルにも型番があります。
- 2機器の管理画面で、システム情報やファームウェア情報から版が 100R017 かどうかを確認します。
- 3管理画面や各種サービスがインターネット側(WAN 側)や広い社内ネットワークから届く設定になっていないかを確認します。
- 4機器にログインできるアカウントが、誰に何件発行されているかを洗い出します。
何が起きたか
H3C Magic NX15 の 100R017 に、OS コマンドインジェクションと呼ばれる種類の弱点が見つかりました。機器に送られた入力の扱いに不備があり、機器の中で意図しない命令が実行されてしまう問題です。成功すると、機器の持ち主が想定していない操作を機器上で行われるおそれがあります。
弱点があるのは、機器内の /usr/bin/usrlist というファイルの sub_416874 という処理です。ネットワーク経由で攻撃できるとされており、攻撃手法は公開されています。発見者が脆弱性データベース VulDB に報告し、ベンダーには早い段階で連絡したとされています。
CVSS v3.1 の基本値は 9.9(深刻)です。評価の要点は、ネットワーク経由で攻撃でき、特別な条件が不要で、利用者の操作も要らない点です。一方で、低い権限のアカウントが必要とされています。機密性・完全性・可用性への影響はいずれも高く、影響が機器の外側にも及びうる評価です。弱点の種類は CWE-77 と CWE-78 に分類されています。
攻撃の流れ
-
1
到達と権限の確保
攻撃者が機器にネットワーク経由で届く位置につき、低い権限のアカウントで機器を利用できる状態になります。
-
2
不正な入力の送信
機器の利用者情報を扱う処理に、細工した入力を送ります。
-
3
命令の実行
入力の検査が不十分なため、機器上で OS の命令として実行されます。
-
4
機器の掌握
設定の変更や通信の盗み見、内部ネットワークへの足がかりに使われる可能性があります。
どう悪用されるか
悪用にはネットワーク経由で機器に到達できることと、低い権限のアカウントが必要とされています。利用者がクリックや操作をする必要はありません。認証が不要というわけではないため、アカウントの管理が行き届いていれば、リスクはある程度下がります。ただし、弱いパスワードの使い回しや、利用者アカウントを多くの人に配っている環境では、条件を満たされやすくなります。
悪用されると、機器上で任意の OS コマンドを実行され、設定の改ざん、通信内容の閲覧、機器の停止、機器を足場にした内部ネットワークへの侵入などにつながるおそれがあります。実際にどこまで可能かは、ベンダーから公式に説明されていません。
実際の攻撃で悪用されたことは、現時点で明らかになっていません。ただし攻撃手法が公開されているため、状況が変わる可能性は考えておくべきです。
今すぐやること
-
1
対象機器の洗い出し
H3C Magic NX15 を使っている拠点と台数を確認し、版が 100R017 かどうかを管理画面で確かめます。
-
2
ベンダーの告知を確認
H3C の公式サイトや、機器の購入元・保守窓口で、修正版や対処方法の案内が出ていないかを確認します。修正版が出た場合は、告知の手順に従って更新します。
-
3
到達できる範囲を絞る
管理画面や各種サービスをインターネット側に公開している場合は止めます。社内からも、管理用の端末や回線だけに限定します。
-
4
アカウントの棚卸し
機器にログインできるアカウントのうち不要なものを削除し、残すものは推測されにくいパスワードに変更します。初期のままのパスワードがないかも確認します。
-
5
不審な変化の確認
身に覚えのない設定変更、アカウントの追加、再起動の増加、通信の異常がないかを確認します。見つかったら機器の初期化やパスワードの総入れ替えなどを検討します。
すぐ更新できないとき
修正版が公表されるまでは、機器の管理画面や各種サービスにインターネット側から届かないようにし、社内でも信頼できる端末からだけ接続できるように制限してください。機器にログインできるアカウントも最小限にします。これで弱点そのものが消えるわけではありません。重要な拠点では、機器の入れ替えや、ほかの機器の前段に置く構成も検討してください。
背景
家庭や小規模拠点向けのルーターやゲートウェイは、社内外の通信がすべて通る入り口にあたります。ここが乗っ取られると、通信の盗み見や設定の書き換え、内部ネットワークへの侵入に使われやすくなります。また、パソコンやサーバーに比べて、更新の頻度が低く、設置後に見直されにくい傾向があります。
OS コマンドインジェクションは、利用者から受け取った文字列の検査が不十分なまま、機器内で命令として実行してしまう弱点です。ネットワーク機器や組み込み機器では、以前から繰り返し報告されてきた種類の問題で、攻撃手法が公開されると試行が広がりやすい傾向があります。
よくある質問
Q.自社の NX15 は今すぐ使えなくなりますか。
Q.ログインできるアカウントがなければ安全ですか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版の有無と提供時期、ベンダーによる正式な対処方法は公表されていません。
- 100R017 以外の版や、ほかの H3C 製品が影響を受けるかは明らかになっていません。
- 実際の攻撃で悪用された事例は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was found in H3C Magic NX15 100R017. This issue affects the function sub_416874 of the file /usr/bin/usrlist. Performing a manipulation results in os command injection. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The vendor was contacted early about this disclosure.
出典: NIST National Vulnerability Database NVD GitHub Advisory
参照URL
- web github.com
- web github.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web nvd.nist.gov
- web github.com