2025-11-03
重大なUniFi OSの脆弱性がリモートコード実行を可能に
UbiquitiのUniFi OSにおいて、認証なしでリモートコード実行が可能な重大な脆弱性が発見されました。この脆弱性はCVE-2025-52665として追跡され、攻撃者は資格情報やユーザーの操作なしにUniFiデバイスを完全に制御できるため、特にUniFi Dream Machineルーターやアクセス制御システムを使用している組織にとって大きなリスクとなります。脆弱性は、誤って設定されたバックアップAPIエンドポイントから発生し、攻撃者は特別にフォーマットされたリクエストを送信することで、任意のコマンドを実行することが可能です。
メトリクス
このニュースのスケール度合い
4.5
/10
インパクト
7.5
/10
予想外またはユニーク度
6.6
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
7.2
/10
このニュースで行動が起きる／起こすべき度合い
8.5
/10
主なポイント
- ✓ UbiquitiのUniFi OSにおいて、認証なしでリモートコード実行が可能な重大な脆弱性が発見されました。
- ✓ 攻撃者は特別にフォーマットされたリクエストを送信することで、任意のコマンドを実行できることが確認されています。
社会的影響
- ! この脆弱性により、企業のセキュリティが脅かされ、物理的なアクセス制御が侵害される可能性があります。
- ! 攻撃者がNFC認証情報を盗むことで、個人情報や機密データが危険にさらされる恐れがあります。
編集長の意見
この脆弱性は、特にIoTデバイスやネットワーク機器におけるセキュリティの重要性を再認識させるものです。Ubiquitiのような企業は、製品の設計段階からセキュリティを考慮する必要があります。特に、APIの設定や入力検証は、脆弱性を防ぐための基本的な対策です。今後、同様の脆弱性が発見される可能性があるため、企業は定期的なセキュリティ監査を実施し、脆弱性を早期に発見する体制を整えることが求められます。また、ユーザーは、デバイスのファームウェアを常に最新の状態に保ち、セキュリティパッチを適用することが重要です。さらに、企業は従業員に対してセキュリティ教育を行い、脅威に対する意識を高めることが必要です。これにより、攻撃者の侵入を未然に防ぐことができるでしょう。
背景情報
- i この脆弱性は、誤って設定されたバックアップAPIエンドポイントが外部からアクセス可能であったことに起因しています。攻撃者は、特定のパラメータを利用してシェルコマンドを直接実行することができるため、コマンドインジェクション攻撃が可能となります。
- i 研究者は、悪意のあるJSONペイロードを使用して、意図されたコマンドを終了させ、任意のコードを注入することに成功しました。この脆弱性は、物理的なドアシステムやNFC認証管理インフラに対する攻撃を可能にします。