A low-privileged remote attacker with "operator" access can…(CVE-2026-44097・CVSS 7.1)

概要

A low-privileged remote attacker with "operator" access can upload arbitrary files via the REST...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

A low-privileged remote attacker with "operator" access can upload arbitrary files via the REST endpoint intended for firmware updates, resulting in persistent storage of attacker-controlled files and potentially exhausting resources, which might lead to Denial-of-Service.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

低権限のリモート攻撃者が「operator」アクセス権を持ち、ファームウェア更新用のRESTエンドポイントを通じて任意のファイルをアップロード可能で、攻撃者が管理するファイルを永続的に保存し、リソースを枯渇させる可能性があります。これにより、サービス拒否（DoS）が発生する可能性があります。

❓ 何が問題か

低権限の攻撃者が任意のファイルをアップロード可能

📍 影響範囲

ファームウェア更新用のRESTエンドポイント

🔥 重要度

サービス拒否（DoS）を引き起こす可能性があるため、重大な脆弱性です。

🔧 修正方法

RESTエンドポイントのファイルアップロード機能を制限し、適切な権限検証を実装します。

🛡️ 暫定回避

運用上の権限を制限することで被害を軽減可能です。

🔍 検知方法

ログを監視して不審なファイルアップロードを検出する。