CVE-2010-5330とは？Ubiquiti AirOSの脆弱性をわかりやすく解説

ひとことでUbiquiti の無線機器 AirOS で、外から命令を実行される弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることAirMax ISP 製品を v5.3.5 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2010-5330
製品	Ubiquiti AirOS
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-04-15
米国政府機関の対応期限	2022-05-06
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-77（コマンドインジェクション）

何が起きた

Ubiquiti の無線機器の一部で、stainfo.cgi（Show AP info）に送る GET リクエストを使って、OS の命令を送り込めてしまう弱点（コマンドインジェクション）が見つかりました。ifname という値の中身をきちんと確かめていないことが原因です。ログイン不要で、離れた場所から利用者の操作なしに悪用できます。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ubiquiti の一部の機器が影響を受け、例として Nanostation5（Air OS）が挙げられています。Ubiquiti の発表では、802.11 製品の AirOS v3.6.1/v4.0 と、AirMax 製品の AirOS v5.x のすべてが対象です。修正版は、802.11 ISP 製品では v4.0.1、AirMax ISP 製品では v5.3.5、AirSync ファームウェアでは v5.4.5 です。

何をすればいい

使っている機器の種類に合わせて、802.11 ISP 製品は v4.0.1 以降、AirMax ISP 製品は v5.3.5 以降、AirSync ファームウェアは v5.4.5 以降に更新してください。Ubiquiti は、インターネットから HTTP で接続できる AirOS の機器は、できるだけ早く更新するよう勧めています。

やることチェックリスト

AirMax ISP 製品を v5.3.5 以降に更新する
802.11 ISP 製品を v4.0.1 以降に更新する
AirSync を v5.4.5 以降に更新する

用語メモ

コマンドインジェクション用語集で見る: 入力の中に命令を紛れ込ませて、機器やサーバーに攻撃者の命令を実行させる攻撃です。
GET リクエスト: ブラウザなどが Web サーバーにページやデータを求めるときの、基本的な通信の方法です。
ファームウェア用語集で見る: 機器の中に組み込まれていて、機器を動かすためのソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性Ubiquiti UniFi OS（CVE-2026-34910）10.0 緊急CVSS v3.1Ubiquiti UniFi OSで、入力の確認不足から、ネットワークにつながる攻撃者にコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Ubiquiti UniFi OS（CVE-2026-34909）10.0 緊急CVSS v3.1Ubiquiti UniFi OSで、ファイルの場所の確認不足から、機器のファイルを読まれアカウントを奪われるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ubiquiti AirOS Command Injection Vulnerability

概要

Certain Ubiquiti devices contain a command injection vulnerability via a GET request to stainfo.cgi.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Ubiquiti AirOS のOSコマンドインジェクションの脆弱性（CVE-2010-5330）