コンテックは、法人向けWi-Fi機器「FLEXLAN」シリーズに複数の脆弱性が確認されたとして、利用者に対し最新版ファームウェアへ更新するよう呼びかけた。同社はJVN（Japan Vulnerability Notes）および自社のセキュリティ情報ページで脆弱性情報を公開し、影響を受ける製品と修正済みファームウェアのバージョンを案内している。
事案の詳細
対象はコンテックの法人向け無線LAN機器「FLEXLAN」シリーズで、同シリーズに複数の脆弱性が存在することが公表された。影響を受ける主なシリーズとして、アクセスポイントおよびモジュールを含むFLEXLAN FX3000シリーズ、FX3200シリーズ、FX4000シリーズなどが挙げられており、シリーズごとに対策済みの最新ファームウェアバージョンが提供されている。メーカーは、問題への対処として、該当製品を最新版ファームウェアへ更新するよう案内している。
公表された内容では、OSコマンドインジェクションやクロスサイトスクリプティング（XSS）などの複数の脆弱性が含まれており、管理画面にログイン可能な攻撃者により任意のOSコマンドを実行される、管理画面にアクセスしたユーザーのブラウザ上で任意のスクリプトを実行されるなどのリスクが指摘されている。また、これらの脆弱性にはCVSS v3で高リスク（High）に分類されるものも含まれている。
コンテックは対策として、各シリーズ向けに脆弱性を修正したファームウェアを公開しており、例えばFX3000シリーズではVer.1.20.00、FX3200シリーズではVer.1.20.00、FX4000シリーズではVer.1.14.00などへの更新が推奨されている。これらのバージョンでは「セキュリティ脆弱性の修正」が明示されている。
現時点で、インターネット上の公表情報では、この脆弱性が原因となる実際の攻撃事例や被害発生の有無については具体的な報告は示されていない。一方で、JVNおよびコンテックが脆弱性情報と更新版ファームウェアを公開し、更新を強く推奨していることから、運用中の機器についてファームウェアバージョンと更新状況を確認することが重要となる。
影響と背景
法人向けWi-Fi機器は、社内ネットワークの入口として多くの端末や業務システムと接続される中核機器になり得る。こうした機器にOSコマンドインジェクションやXSSなどの脆弱性が存在する場合、攻撃者に機器の管理権限を奪取されたり、設定情報の改ざんや機器経由で他のシステムへの攻撃の踏み台として悪用されたりする危険がある。
そのため、利用者はメーカーが提供する修正（ファームウェア更新）を速やかに適用し、既知の不備を解消することが基本的なリスク低減策となる。コンテックは対策ファームウェアへの更新に加え、更新が困難な場合の暫定的な軽減策として、Web設定画面のパスワードをデフォルトから変更することや、機器が接続されるネットワークに対してファイアウォール等で不正アクセスを防ぐことなどを推奨している。
対策・今後の展望
- 最新版ファームウェアへ更新：メーカーが案内するシリーズ別の情報に従い、対象機器を最新版ファームウェアへ更新する。代表例として、FX3000シリーズ（FXA3000/FXE3000/FXS3000など）はVer.1.20.00、FX3200シリーズ（FXA3200）はVer.1.20.00、FX4000シリーズ（FXE4000/FXS4000）はVer.1.14.00への更新が推奨されている。
- 運用機器の把握：社内で稼働しているFLEXLAN機器のシリーズ・型番・設置場所・管理者・現在のファームウェアバージョンと更新状況を整理し、更新漏れを防ぐ。資産管理台帳や機器一覧を整備し、「誰が管理しているか不明」の状態を解消することが重要である。
- 更新後の確認：更新作業後に、無線接続や管理画面へのアクセス、業務システムとの接続状況などについて、業務影響が出ていないか最低限の動作確認を行う。また、管理者アカウントや設定値が想定どおり維持されているかを確認し、必要に応じてバックアップ設定から復元する。
- 設定の見直しと暫定的な軽減策：更新がすぐに行えない機器については、管理画面のパスワードを強固なものに変更する、インターネットなど外部ネットワークから直接アクセスされないようファイアウォールやVPNを適切に構成するなど、メーカーが示す軽減策を適用する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが中小企業のMDR運用や診断を支援する現場では、Wi-Fi機器などネットワーク機器のファームウェアが長期間更新されない例が珍しくありません。資産台帳が未整備で「誰が管理しているか不明」のまま、更新判断が止まることが多いです。その結果、今回のFLEXLANのように脆弱性情報が公表されても、対象機器かどうかが分からず、更新が後回しになるケースが見られます。
【平易な解説】今回の話は、例えるなら「建物の玄関ドアの鍵穴に不具合が見つかったので、鍵の部品を交換してください」というものです。つまり、入口にあたる機器の弱点を直さず使い続けると、意図しない入り方を許す恐れがある、ということです。特に、管理画面にログインできる人が悪意をもって操作したり、ブラウザで設定画面を開いた際に意図しないスクリプトが動いたりすると、社内ネットワーク全体に影響が及ぶ可能性があります。
【今週中にできること】まず総務や情シスで、社内にFLEXLAN機器が何台あり、どこに置かれているか、シリーズ名や型番、ファームウェアバージョンがどうなっているかを確認してください。次に各拠点の担当者へ「メーカーが公表している最新版ファームウェアへ更新する」方針を共有し、シリーズごとに推奨されているバージョンを確認した上で更新日を決めます。最後に更新後、業務Wi-Fiが通常どおり使えるか、管理画面に問題なくアクセスできるかを短時間で点検し、必要に応じて設定やアクセス制御の見直しを行ってください。