最近の脆弱性 › CVE-2025-67038
Lantronix EDS5000 のコードインジェクションの脆弱性（CVE-2025-67038）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2025-67038 |
|---|---|
| 製品 | Lantronix EDS5000 |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-06-23 |
| 米国政府機関の対応期限 | 2026-06-26 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78, CWE-94 |
何が起きた
Lantronix の機器をネットワークにつなぐ装置 EDS5000 の HTTP RPC の部品に、プログラムを紛れ込まされる弱点が見つかり、実際に悪用が確認されています。ログインに失敗したときに記録を書くコマンドで、入力されたユーザー名をそのまま組み込んでいました。そのため、ユーザー名の欄に OS のコマンドを紛れ込まされ、root（最も強い権限）で実行されるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。同じ弱点は、G520 などほかの Lantronix の製品にもあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Lantronix EDS5000 シリーズの 2.1.0.0R3 以前、G520 と X300 シリーズの 2.6.0.4R6 より前、E210 と E220 シリーズの 3.21.0.0R1 より前を使っている組織が影響を受けます。
何をすればいい
EDS5000 は 2.2.0.0R1 以降、G520 と X300 は 2.6.0.4R6 以降、E210 と E220 は 3.21.0.0R1 以降に更新してください。
やることチェックリスト
- 機器の型番とファームウェアの版を確かめる
- Lantronixの修正版に更新する
- 機器をインターネットから使えないようにする
用語メモ
- EDS5000
- 機器をネットワークにつなぐための、Lantronix の装置です。
- root
- Linux などで、何でもできる最も強い権限を持つ管理者のアカウントです。
元データ（英語・CISA KEV より）
Lantronix EDS5000 Code Injection Vulnerability
概要
Lantronix EDS5000 contains a code injection vulnerability that could allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.