Array Networks ArrayOS AG のOSコマンドインジェクションの脆弱性（CVE-2025-66644）

何が起きた

Array Networks のリモートアクセス用機器で動く ArrayOS AG に、外から送られた内容を OS の命令として実行してしまう（OS コマンドインジェクション）弱点が見つかりました。攻撃者は任意の（攻撃者が好きに選べる）命令を実行できるおそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、CVE の記録によると2025年8月から12月にかけて実際に悪用されました。JPCERT/CC によると、国内でも機器に Webshell が置かれるなどの被害が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ArrayOS AG を使っている組織が対象です。CVE の記録では、影響を受けるのは 9.4.5.9 より前のバージョンです。JPCERT/CC によると、リモートデスクトップの環境を提供する DesktopDirect という機能が有効な場合に影響を受けます。

何をすればいい

Array Networks の公式の案内を確認し、ArrayOS AG 9.4.5.9 以降に更新されているか確認してください。すぐに更新できない場合、JPCERT/CC の注意喚起では、DesktopDirect を使っていなければすべての DesktopDirect のサービスを無効にすること、URL フィルターで「;」を含む URL へのアクセスを拒否することが回避策として紹介されています。また、攻撃を受けた可能性がないか調べることが勧められています。更新で再起動するとログが消える可能性があるため、先にログを保存してから調べてください。

やることチェックリスト

• ArrayOS AG を 9.4.5.9 以降に更新する
• 未使用なら DesktopDirect を無効にする
• 更新前にログを保存し侵害の痕跡を調べる

用語メモ

OS コマンドインジェクション

入力した文字に OS への命令をまぎれこませ、サーバーに実行させてしまう攻撃です。

Webshell

攻撃者がサーバーに置く、外からサーバーを操作するための小さなプログラムです。

DesktopDirect

Array Networks の機器で、離れた場所から会社のパソコンの画面を使えるようにする機能です。