Lantronix製デバイス「EDS5000」に深刻な脆弱性、認証失敗時のログ処理を突いたOSコマンド注入でroot権限奪取の恐れ

要点

• Lantronix（ラントロニクス）製のデバイスサーバー「EDS5000」シリーズのファームウェアに、任意のOSコマンドを注入可能な深刻な脆弱性（CVE-2025-67038）が発見された。
• ユーザー認証が失敗した際、HTTP RPCモジュールが無害化処理を行わずにユーザー名をシェルコマンドに直接連結してログを書き込む仕様が原因とされる。
• 攻撃者はユーザー名パラメータに任意のコマンドを挿入することで、最高管理者権限（root権限）でコマンドを実行させることができる。
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が実際に悪用されているとして「悪用が確認されている脆弱性カタログ」に追加した。
• 影響を受けるデバイスには「EDS5008」「EDS5016」「EDS5032」があり、いずれもファームウェアバージョン「2.1.0.0R3」が該当する。

• ネットワーク機器を手掛けるLantronix（ラントロニクス）社の製品「EDS5000」シリーズにおいて、リモートから任意のOSコマンドを実行される極めて深刻な脆弱性が発見された。この脆弱性は「CVE-2025-67038」として登録されており、すでに実際の攻撃で悪用されていることが確認されているため、製品を利用している組織に対して早急な対策が呼びかけられている。

• 今回明らかになった脆弱性の原因は、Lantronix EDS5000シリーズ（ファームウェアバージョン：2.1.0.0R3）の「HTTP RPC」モジュールにおける不適切な処理にある。HTTP RPCとは、Web通信のプロトコルであるHTTPを経由して、リモートからデバイス上の特定の機能を呼び出す仕組みのことである。

• このモジュールでは、ユーザーがデバイスへの接続や操作のための認証に失敗した際、その事実を記録するためにシステム内でシェルコマンド（OSの基本機能へ命令を下すためのコマンドライン）を実行してログの書き込みを行う仕様になっていた。しかし、そのログ書き込みコマンドを構成する際、入力されたユーザー名が何らサニタイズ（悪意ある文字列を取り除いたり無害化したりする処理）されることなく、コマンドに直接連結されていた。

• このため、攻撃者がユーザー名を入力するパラメータに、あらかじめ意図したシステムコマンドを紛れ込ませておくことで、デバイスの認証処理が失敗した瞬間にそのコマンドが実行されてしまう「コードインジェクション（プログラムの隙を突き、外部から不正なコマンドを注入する攻撃手法）」が発生する。さらに深刻なことに、この注入されたコマンドはシステム内の最高権限である「root（ルート）権限」で実行される。これにより、攻撃者は認証を通過することなく、外部からデバイス全体の制御を完全に奪取することが可能になるという。

• 深刻度を示す指標（CVSSスコア）：

• この脆弱性の危険度は非常に高く見積もられている。共通脆弱性評価システムであるCVSS（バージョン3.1）に基づく評価では、ベーススコアが最大10点満点のうち「9.8」で、「CRITICAL（緊急）」に分類されている。

• このスコアの内訳（CVSSベクター）を見ると、ネットワーク経由で攻撃が可能であり、攻撃の難易度は低く、実行に事前の権限やユーザーによる操作も不要とされている。一方で、攻撃成功時の影響は機密性・完全性・可用性のすべてにおいて「High（高）」とされており、情報の漏洩や破壊、機能の完全な停止に至る深刻な被害が想定されている。

• CISAによる注意喚起と強制的な措置：

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA、米国のサイバーセキュリティや重要インフラ保護を担う政府機関）は、現地時間2026年6月23日にこの脆弱性を「悪用が確認されている脆弱性カタログ（KEV）」に追加した。

• このカタログに登録された脆弱性は、すでに実際の攻撃で悪用されていることが確認されたものであることを示している。CISAのコーディネーターによる詳細分析（SSVC）でも、悪用状況が「active（活発）」、自動攻撃の可能性が「yes（可能）」、技術的な影響が「total（全面）」と判定された。CISAは関係機関に対し、2026年6月26日までにベンダーの指示に従って必要な緩和策やセキュリティパッチを適用するよう命じており、もし有効な対策が取れない場合には、製品の使用そのものを中止することを求めている。

• 影響を受ける構成：

• 脆弱性が確認されている具体的な構成は、Lantronix社の以下の機器およびファームウェアの組み合わせである。これらはCPE（共通製品識別子：ソフトウェアやハードウェアの識別名）において脆弱なソフトウェア構成として指定されている。

• ハードウェア：EDS5008、EDS5016、EDS5032
• ファームウェアバージョン：いずれも「2.1.0.0R3」

• なお、米国立標準技術研究所（NIST、科学技術や規格の策定を行う米政府機関）が管理する国家脆弱性データベース（NVD）による独自の分析と評価は、現時点でまだ提供されておらず、ステータスは「NVD assessment not yet provided（NVDによる評価は未提供）」となっている。しかし、すでにCISAをはじめとするセキュリティ機関によって危険性が周知されており、迅速な対応が必要とされている。