WAVLINK WN551X3-Aにコマンド実行の脆弱性、PoC公開
WAVLINK WN551X3-Aのルーターに、認証なしで外部から任意のOSコマンドを実行されるおそれのある脆弱性が公表されました。該当機器の版を確認し、管理画面とVPN機能を外部に公開していないか見直してください。
急ぎ度: 至急
CVSS v3・v4ともに満点の10で、認証不要のネットワーク経由で悪用でき、手法の概要がすでに公開されており、修正版の情報も確認できていないためです。
関係があるか
WAVLINK WN551X3-Aを拠点や店舗、在宅勤務の出口ルーターとして使っている組織が対象です。管理画面やVPN機能がインターネット側から届く構成だと、リスクが大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WAVLINK WN551X3-A | ファームウェアM51X3_V251020-WO-182e965で確認されています。ほかの版が影響を受けるかは、ベンダーの告知で確認してください。 | 修正版の情報は確認できていません。ベンダーの告知を確認してください。 |
確かめ方
- 1社内の機器台帳やネットワーク図で、WAVLINK製ルーターとWN551X3-Aの設置場所を洗い出す。
- 2ルーターの管理画面にログインし、ファームウェアの版がM51X3_V251020-WO-182e965かどうかを確認する。
- 3管理画面とWireGuard関連のポートが、インターネット側から到達できる状態になっていないかを、ルーターの設定と上位のファイアウォールで確認する。
- 4委託先が設置・保守している機器が含まれていないかを、委託先にも確認する。
何が起きたか
WAVLINK製ルーターのWN551X3-Aに、外部から任意のOSコマンドを実行されるおそれのある脆弱性が見つかりました。公表は2026年11月2日で、種類はOSコマンドインジェクション（CWE-78）です。
問題があるのは、ファームウェア内の /bin/ioosが持つWireGuardのグループ設定を扱う処理です。グループ名を示す引数group_nameの値が、無害化されないままシステムのコマンド実行に渡されます。そのため、入力の中身しだいで、機器が意図しないコマンドを実行してしまいます。
この脆弱性の手法を説明した資料は、すでに公開されています。
ベンダーには公表前に連絡が取られたと報告されています。ただ、今回確認できる情報には、修正版の提供状況は含まれていません。
攻撃の流れ
-
1
到達できる機器を探す
インターネット側などから、WN551X3-Aの管理機能に届く機器を見つけます。
-
2
グループ名に細工を入れる
WireGuardのグループ設定の処理に、不正な文字列を含むgroup_nameを渡します。
-
3
コマンドが実行される
文字列がそのままシステムのコマンド実行に渡り、機器上で意図しない命令が動きます。
-
4
機器を掌握される
設定の改ざんや通信の盗み見、内部ネットワークへの踏み台化につながるおそれがあります。
どう悪用されるか
CVSSの評価では、認証は不要で、利用者の操作も要りません。ネットワーク経由で、特別な条件もなく悪用できるとされています。攻撃者が機器の管理機能に到達できるかどうかが、実質的な分かれ目です。
悪用が成功すると、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。評価では影響範囲の変化も想定されており、ルーター単体にとどまらず、配下の端末やネットワークにも波及しかねません。具体的には、設定の書き換え、通信の盗み見、機器の停止、内部への足がかりづくりなどが考えられます。
今すぐやること
-
1
該当機器と版を洗い出す
WN551X3-Aの台数と設置場所、ファームウェアの版を確認します。特に、拠点や店舗に置かれて管理が手薄な機器を見落とさないようにします。
-
2
外部からの到達を止める
管理画面とWireGuard関連の通信が、インターネット側から届かないようにします。上位のファイアウォールで、管理用のアクセスを社内の限られた送信元だけに絞ります。
-
3
ベンダーの告知を確認する
WAVLINKの公式告知で、修正版の有無、影響する版、回避策を確認します。修正版が出ていれば、検証したうえで速やかに更新します。
-
4
不審な設定変更を調べる
身に覚えのないWireGuardのグループやピア、DNS設定の変更、管理者アカウントの追加がないかを確認します。見つかったときは、機器を初期化してから設定を再投入し、パスワードも変更します。
-
5
入れ替えを検討する
修正版が提供されない、またはサポートが終わっている場合は、別の機器への入れ替え計画を立てます。
修正版がないあいだのつなぎ
修正版を当てられない間は、管理画面とVPN機能を外部に公開せず、管理は社内LANからだけに限ります。WireGuardを使っていない機器では、関連する機能を有効にしていないか設定を見直します。そのうえで、上位のファイアウォールなどで、ルーターへ届く通信を必要最小限の送信元に絞ります。ただし、これらは到達経路を狭めるつなぎの策です。脆弱性自体は残るため、修正版が出たら更新します。
背景
WN551X3-Aは、拠点や小規模オフィスの出入り口に置かれるWi-Fi機能付きのルーターです。通信の中継と設定の保持を担うため、ここを押さえられると、配下の端末の通信が見えてしまいます。今回のWireGuardは軽量なVPNの仕組みで、拠点間や在宅勤務の接続に使われます。その設定画面は、外部から触れる位置に置かれることが少なくありません。
小型ルーターでは、画面から受け取った名前や設定値を、そのままシェルのコマンドとして実行する実装が、OSコマンドインジェクションの典型的な原因になってきました。今回も、グループ名という一見ただの名前欄が、コマンド実行に渡る点が問題の核心です。管理者から見ると、設定項目の入力欄が攻撃の入口になるという、意識しにくい経路です。
よくある質問
Q.すでに侵害されたかどうかは、どう調べればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability has been found in WAVLINK WN551X3-A M51X3_V251020-WO-182e965. This affects the function system of the file /bin/ioos of the component WireGuard CLI Group Handler. Such manipulation of the argument group_name leads to os command injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web github.com
- web nvd.nist.gov
- web github.com