関連CVE ID: なし。
ローカルエリアネットワーク上の認証済みの攻撃者がReadyNAS OS 6ストレージシステム上でOSコマンドインジェクションを実行できるセキュリティ上の脆弱性が確認されました。この脆弱性は、攻撃者がReadyNASストレージシステム管理者の資格情報を入手できる場合に限定されます。
この脆弱性は、下記の製品が該当します。
- ReadyNAS OS 6.6.1以前を実行しているすべてのReadyNAS OS 6ストレージシステム
ReadyNAS OSバージョン6.6.2のすべての該当製品では、このOSコマンドインジェクションの脆弱性は修正されています。NETGEARでは、影響のあるすべてのユーザーに対して、ReadyNAS OS 6の最新バージョンを早急にダウンロードすることを強く推奨します。手順については、「ReadyNAS OS 6：ファームウェアのアップデート」を参照してください。
お使いのReadyNASストレージシステムがすでにReadyNAS OS 6.6.2以降にアップグレード済みの場合、このOSコマンドインジェクションの脆弱性の影響はなく、何らかの措置を取る必要はありません。
免責事項
ReadyNAS OS 6.6.2以降にアップデートしないと、OSコマンドインジェクションの脆弱性は解消されません。NETGEARはファームウェアをアップデートすることで回避できるこの脆弱性に関係するすべての事象に対して、一切の責任を負いかねます。
謝辞
なし
共通脆弱性評価システム
CVSS v3 レーティング: Medium
CVSS v3 スコア: 6.7
Vector: CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
連絡先
セキュリティ問題について関心をお寄せいただき、ありがとうございます。NETGEARは既知の問題だけではなく未知の問題についても継続して調査をおこない、セキュリティ問題に対して事前に対策することに努めています。
お使いの製品のバージョンおよびリビジョン (v1h1など) を調べる場合は、製品の裏面や底面にあるラベルをご参照ください。
セキュリティ上の脆弱性に関する報告は次のURLをご参照ください。http://www.netgear.com/about/security/
セキュリティ問題でお困りの場合はサポートまでご連絡ください。techsupport.security@netgear.com
改訂履歴
2017/10/6: 新テンプレートに更新
2017/7/12: アドバイザリー公開