Yealink Plug-in Softwaresに脆弱性、修正版あり
Yealink Plug-in Softwaresの2.35.219.0より前の版に、遠隔からコードを実行されるおそれのある脆弱性が見つかりました。利用中の組織は版を確認し、修正版の2.35.219.0へ更新してください。
急ぎ度: 早めに
CVSS v3は9.0で認証も利用者の操作も要りませんが、悪用の条件は厳しめ（AC:H）で、修正版の2.35.219.0がすでに公開されています。
関係があるか
Yealinkの電話や会議機器の環境でPlug-in Softwaresを使っている企業や拠点が対象です。ネットワーク経由で到達できる環境ほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Yealink Plug-in Softwares | 2.35.219.0より前のすべての版 | 2.35.219.0 |
確かめ方
- 1社内の資産台帳や配布管理の記録で、Yealinkのプラグイン系ソフトウェアを導入している端末とサーバーを洗い出します。
- 2導入済みの各製品の版を確認し、2.35.219.0より前なら対象と判断します。
- 3どの製品がPlug-in Softwaresに含まれるかは、Yealinkのセキュリティ告知（Trust Centerのセキュリティブルチン）で確認してください。
何が起きたか
Yealink Plug-in Softwaresに、特定の条件のもとで、許可されていないファイルの書き込みが起こる脆弱性が見つかりました。悪用されると、ネットワークの外から任意のコードを実行されるおそれがあります。
問題の種類はCWE-434で、危険なファイルを受け付けてしまう型に当たります。深刻度はCVSS v3で9.0のcriticalです。2026年11月4日に公表され、2.35.219.0より前の版が影響を受けます。
ベンダーの告知では、2.35.219.0で修正したとされています。
攻撃の流れ
-
1
到達できる位置
攻撃者がネットワーク経由で、対象のソフトウェアに接続できる状態にあります。
-
2
条件が整う
特定の条件がそろうと、許可のないファイル書き込みが通ってしまいます。
-
3
ファイルが置かれる
意図しないファイルが対象の環境に書き込まれます。
-
4
コードが動く
書き込まれたものを足がかりに、任意のコードが実行されます。
どう悪用されるか
ネットワーク越しに攻撃でき、事前の認証も利用者の操作も要りません。ただし、攻撃には特定の条件を満たす必要があり、CVSSの攻撃条件の複雑さは高と評価されています。誰でもすぐに成功させられる脆弱性ではなさそうですが、条件の細部が分からないうちは、自社の環境が安全と決めつけないほうが無難です。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出ます。情報が読まれる、設定やファイルが書き換えられる、サービスが止まるといった被害です。影響範囲が元のソフトウェアの外へ広がる評価（S:C）なので、同じネットワークにつながる別の機器やシステムにも波及し得ます。
今すぐやること
-
1
対象の版を洗い出す
Plug-in Softwaresを導入している端末とサーバーを一覧にし、版を記録します。2.35.219.0より前のものが更新の対象です。
-
2
修正版2.35.219.0へ更新する
Yealinkのセキュリティ告知とサポートページから修正版を入手し、検証環境で動作を確かめてから本番に展開します。更新手順や対象製品の一覧も、告知で確認してください。
-
3
接続元を見直す
更新までの間に、対象ソフトウェアへ接続できる範囲を確認します。インターネットから直接届く構成になっていないかも見ておきます。
-
4
不審な痕跡がないか調べる
更新の前後で、対象機器に身に覚えのないファイルが増えていないか、予期しない再起動や設定変更がないかを、ログと合わせて確認します。
すぐ更新できないとき
すぐに更新できないときは、対象のソフトウェアへ接続できる送信元をファイアウォールなどで必要な端末と管理用ネットワークに絞り、インターネットから直接届かないようにします。ベンダーが個別の回避策を案内している場合があるので、告知もあわせて確認してください。
背景
Yealinkは、企業向けのIP電話や会議用機器で知られるメーカーです。Plug-in Softwaresは、そうした電話・会議環境の拡張に使われるソフトウェアで、オフィスの通信基盤の一部としてネットワークにつながったまま動き続けることが多く、更新が後回しになりやすい種類のものです。
CWE-434に分類される脆弱性は、許可のないファイルを置かれることがそのままコード実行につながる点が厄介です。置かれたファイルがソフトウェアの権限で動けば、攻撃者は機器の中で自由に動けるようになります。今回はスコープが変わる評価で、電話や会議の周辺にある別のシステムにも影響が及び得ると見られています。
よくある質問
Q.IP電話や会議機器の本体も更新が必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Yealink | Plug-in Softwares |
2.35.219.0 未満 |
2.35.219.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In Yealink Plug-in Softwares before 2.35.219.0, there is an unauthorized file write vulnerability under specific scenarios, which may be exploited by attackers to achieve remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@mitre.org
- web cve@mitre.org
- web nvd.nist.gov
- web github.com