• ひとことでBrocade Fabric OS で、管理者が最上位の root 権限でコードを動かせる弱点です。
  • 深刻度6.7 警告CVSS v3.1
  • まずやること使っている Fabric OS の版を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-1976
製品Broadcom Brocade Fabric OS
深刻度（CVSS）6.7 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-04-28
米国政府機関の対応期限2025-05-19
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-94（コードインジェクション）

何が起きた

Broadcom の Brocade Fabric OS（ストレージ用ネットワーク機器の OS）に、コードインジェクションの弱点が見つかりました。メーカーによると IP アドレスの確認の不備が原因で、管理者権限を持つ利用者が、本来は取り除かれた root（最上位の権限）として任意の（攻撃者が好きに選べる）コードを実行できます。NVD の評価では、機器の上で（ローカル）、管理者などの高い権限を持つ攻撃者が、利用者の操作なしに悪用できます。実際の攻撃での悪用が確認され、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理者権限で機器に入る → 2. IP アドレスの確認の不備を突く → 3. root の権限で任意のコードが動く1攻撃者が管理者権限で機器に入る2IP アドレスの確認の不備を突く3root の権限で任意のコードが動く攻撃の流れ: 1. 攻撃者が管理者権限で機器に入る → 2. IP アドレスの確認の不備を突く → 3. root の権限で任意のコードが動く1攻撃者が管理者権限で機器に入る2IP アドレスの確認の不備を突く3root の権限で任意のコードが動く攻撃の流れ: 1. 攻撃者が管理者権限で機器に入る → 2. IP アドレスの確認の不備を突く → 3. root の権限で任意のコードが動く1攻撃者が管理者権限で機器に入る2IP アドレスの確認の不備を突く3root の権限で任意のコードが動く

誰が影響を受ける

Brocade Fabric OS 9.1.0 から 9.1.1d6 を使っている組織が対象です。メーカーによると、9.2.0 以降は影響を受けず、Brocade ASCG と Brocade SANnav も影響を受けません。

何をすればいい

Fabric OS を、修正が入った 9.1.1d7 以降に更新されているか確認してください。また 9.1.0 より前の版は、管理者が直接 root を使える作りのため、メーカーは root を外した版への更新を勧めています。あわせて Broadcom の公式の案内を確認してください。

やることチェックリスト

  • 使っている Fabric OS の版を確認する
  • Fabric OS を 9.1.1d7 以降に更新する
  • 9.1.0 より前の版は root を外した版へ上げる

用語メモ

root 用語集で見る
Linux などの OS で、何でもできる最上位の管理者権限のことです。
コードインジェクション 用語集で見る
入力などにプログラムをまぎれ込ませ、意図しない処理を実行させる攻撃です。
IP アドレス 用語集で見る
ネットワーク上で機器を見分けるための番号です。

次に読む

同じ製品・メーカーの脆弱性Broadcom VMware vCenter（CVE-2026-59310）9.8 緊急CVSS v3.1VMware vCenterのSyslogサーバーで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Broadcom VMware Aria Operations（CVE-2026-22719）8.1 重要CVSS v3.1VMware Aria Operationsで、外から任意の命令を実行されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Broadcom Brocade Fabric OS Code Injection Vulnerability

概要

Broadcom Brocade Fabric OS contains a code injection vulnerability that allows a local user with administrative privileges to execute arbitrary code with full root privileges.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る