本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.9 急ぎ度: 早めに

Pugongying X5 Proに認可不備の脆弱性、攻撃コード公開

Oray社のPugongying X5 Proで、権限の低いアカウントから本来許されない操作を実行できる脆弱性が公表されました。攻撃コードが公開され修正版も未確認のため、利用中の組織は管理機能の公開範囲とアカウントを早めに見直してください。

CVE-2026-120224 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 2 件

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3は9.9で攻撃コードも公開されていますが、悪用には権限の低いアカウントが要るため、修正版の案内を待つあいだの公開範囲の制限とアカウントの整理で当面のリスクを下げられます。

関係があるか

Pugongying X5 Proを拠点や在宅勤務のネットワーク接続に使っている組織が対象です。管理用の機能に外部から届く構成や、委託先・拠点担当者に権限を絞ったアカウントを配っている運用では、とくに注意が要ります。

製品影響を受ける版修正版
Oray Pugongying X5 Pro 7.6.1までの版 修正版は未確認です。ベンダーの告知とNVDの記録で最新の状況を確認してください

確かめ方

  1. 1管理画面のシステム情報で、ファームウェアの版が7.6.1以前かどうかを確認する。
  2. 2資産台帳や機器のラベルを見る。Pgyerの名前で表記された機器も対象になりうるため、型番がX5 Proのものを洗い出す。
  3. 3管理画面や管理用のAPIがインターネット側から届く設定になっていないかを、ルーターの公開設定と上位のファイアウォールで確認する。
  4. 4権限を絞ったアカウント（閲覧用・委託先用など）が作られていないか、アカウント一覧を確認する。

何が起きたか

Pugongying X5 Proに、権限を絞ったアカウントでも本来は許されない操作を実行できてしまう脆弱性が見つかりました。操作を受け付ける側で、呼び出したアカウントの権限を正しく確認していないことが原因です。

問題があるのは、API認可を担うコンポーネントのrun_apis_by_json／run_async_taskです。分類はCWE-266で、権限の割り当てや確認の誤りにあたります。CVSS v3は9.9、v4は8.6で、機密性・完全性・可用性のすべてで影響が大きいと評価されています。

公開された検証資料の題名からは、権限を絞ったアカウントが、JSONでまとめて命令を送るAPIを通じて初期化の操作まで呼び出せる、という内容がうかがえます。

説明では、攻撃コードがすでに公開されていて、攻撃に使われるおそれがあるとされています。公表前にベンダーへ連絡があったものの、応答はなかったということです。

攻撃の流れ

  1. 1

    低権限の口座を得る

    管理対象の機器に、権限を絞ったアカウントでログインできる状態になります。

  2. 2

    APIへ要求を送る

    ネットワーク越しに、まとめて命令を受け付けるAPIへ要求を送ります。

  3. 3

    権限確認をすり抜ける

    機器が呼び出し元の権限を正しく確認せず、要求が受理されます。

  4. 4

    管理操作が実行される

    設定の変更や初期化など、本来は管理者だけの操作が実行され、通信の停止や影響範囲の拡大につながります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用にはログインできるアカウントが要ります。ただし、管理者権限は不要で、権限を絞ったアカウントで足ります。ネットワーク越しに実行でき、複雑な条件や利用者の操作は必要ありません。

CVSSの評価では、影響が機器そのものにとどまらず、その先のネットワークにも及ぶとされています。設定の読み出しと書き換え、機器の停止のいずれも起こりえます。

実務で気をつけたいのは、低権限のアカウントが身近にあることです。委託先や拠点担当者に配った閲覧用アカウント、使われなくなった旧アカウント、漏えいした認証情報が、そのまま入口になりえます。

今すぐやること

  1. 1

    対象機器と版を洗い出す

    Pugongying X5 Pro（Pgyer表記を含む）を台帳と現地で確認し、ファームウェアの版が7.6.1以前のものを一覧にします。

  2. 2

    ベンダーの告知で修正版を確認する

    ベンダーの告知とNVDの記録を見て、修正版や公式の回避策が出ていないかを確認します。出ていれば、更新前に設定のバックアップを取ってから更新します。

  3. 3

    管理機能の公開範囲を絞る

    管理画面とAPIがインターネット側から届く設定なら、社内ネットワークかVPN経由に限定します。

  4. 4

    アカウントを棚卸しする

    権限を絞ったアカウントのうち不要なものを削除し、残すものはパスワードを変更します。委託先に配ったものは、用途を見直します。

  5. 5

    侵害の跡を調べる

    公表前から攻撃コードが出回っていた可能性もあるため、機器のログで身に覚えのない設定変更・再起動・初期化がないかを確認します。

修正版がないあいだのつなぎ

修正版が出るまでは、管理画面とAPIへの到達を社内ネットワークやVPNに限り、発信元のIPアドレスもファイアウォールで絞ります。権限を絞ったアカウントは、業務上必要なものだけに減らします。あわせて、現在の設定を定期的に書き出しておくと、初期化されても復旧できます。ベンダーから応答がないため、修正版を待つ一方で、代替機器への入れ替えの検討も始めておくと安心です。

背景

Pugongying X5 Proは、公開された検証資料の題名にRouterとあるとおり、拠点や在宅の端末をつなぐネットワーク機器です。社内ネットワークの出入口に置かれるため、止まれば通信が止まり、設定を書き換えられれば経路そのものが変わります。

今回の脆弱性が絡むのは、管理操作をまとめて受け付けるAPIの認可確認です。委託先の保守担当者や拠点の担当者に、権限を絞ったアカウントを渡す運用はよくあります。その権限の絞り込みが機能しないと、アカウントを分けて配った前提が崩れます。管理者アカウントだけを守っていても、防げない型の問題です。

よくある質問

Q.Pgyerと表記された機器も同じ製品ですか。
A.公開された検証資料では、Pgyer X5 Pro Routerの7.6.1が扱われており、同じ製品を指すとみられます。ただ、型番の表記は販売経路で異なることがあるため、機器のラベルとファームウェアの版を見て、ベンダーの告知で対象かどうかを確認してください。
Q.管理者アカウントしか使っていなければ、影響は小さいですか。
A.悪用には権限を絞ったアカウントが必要なので、そうしたアカウントがなければ入口は狭くなります。ただし、過去に作ったまま残っているアカウントや、初期設定のアカウントがないかは、一覧で確認しておく必要があります。

まだ分かっていないこと

  • ベンダーは公表前の連絡に応答しておらず、修正の予定や時期は示されていません。
  • 攻撃コードは公開されていますが、実際の攻撃で悪用された事例があるかは分かっていません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

A security flaw has been discovered in Oray Pugongying X5 Pro up to 7.6.1. Affected is the function run_apis_by_json/run_async_task of the component API Authorization. The manipulation results in improper authorization. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく