ネットワーク機器の脆弱性

ネットワーク機器の脆弱性がまた案内されています。
今回はTP-LinkのOmadaシリーズです。
Omadaは世界で大きなシェアを持つネットワーク機器メーカーであるTP-Linkが展開する法人向けネットワークソリューションです。
このOmadaのなかのゲートウェイ型デバイスのコマンドインジェクションの脆弱性の情報が案内されました。

• CVE-2025-6542
  これはCVSSベーススコアが9.3の脆弱性です。
  この脆弱性はコマンドインジェクションで、認証なしでリモート攻撃者が悪用できる内容になっています。
• CVE-2025-6541
  これはCVSSベーススコアが8.4の脆弱性です。
  こちらもコマンドインジェクションですが、攻撃行為の前提として攻撃者がWeb管理インターフェースにログインできる必要がある内容となっています。

どちらも脆弱性の悪用が成立すると、対象機器のOS上で任意のOSコマンドが実行される可能性があるものとなっています。
任意のコマンドが実行できるということは、完全な侵害、データの盗難、横方向の移動、永続化が可能となると考えるべきでしょう。
境界で防御するための機器の脆弱性で、そのシステムの全体が危険な状態になってしまうという悲しい事態となってしまいます。

対策された新しいファームウェアはすでに公開されています。
対象製品も広いですので、関連する機器を利用している場合には対策を完了させましょう。

日々サイバーセキュリティのニュースが案内されて、セキュリティに対する意識は向上してきているように思います。
しかし、その意識の対象範囲は必要十分でしょうか。
普段手元で使用するスマートホンやPCなどの機器は意識しやすいのですが、普段直接は目にしないネットワーク機器の更新についても十分に実施できているでしょうか。
思いついたら対策する、というのでは、もはや自分の身を守れないように思えます。
広い視野でパッチ適用を定期実施する内容を計画し、そのパッチケイデンスを継続していくことが重要ですね。

Statement on OS command injection vulnerabilities on Omada gateways (CVE-2025-6541 and CVE-2025-6542

https://support.omadanetworks.com/en/document/108455/