Huawei製光ネットワーク端末にOSコマンドインジェクションの脆弱性

JPCERTコーディネーションセンター（JPCERT/CC: Japan Computer Emergency Response Team Coordination Center）は8月17日、「JVN#41646618: Huawei 製 EchoLife HG8045Q における OS コマンドインジェクションの脆弱性」において、Huawei製の光ネットワーク端末「EchoLife HG8045Q」に脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって影響を受けた端末上で一部のOSコマンドが実行されるおそれがあるという。

JPCERT/CCによると、EchoLife HG8045Qにはネットワーク事業者によるメンテナンス作業用のコマンドライン・インタフェースが実装されているという。ネットワーク事業者は、このインタフェースを使用してメンテナンス作業用の各種コマンドを実行できる。このコマンドライ・インタフェースの入力内容の処理に不備があり、悪意をもって細工された入力によって、BusyBoxツールが提供するコマンドの一部を実行することができてしまうとのこと。BusyBoxは組込みLinux用の汎用コマンドツールである。

この脆弱性は、メンテナンス用のコマンドラインインタフェースが有効になっている場合にのみ影響を受ける。EchoLife HG8045Qの初期設定では無効になっている。

対策方法としては、開発元より提供されている以下のバージョンにアップデートすることが挙げられている。