【活用ガイド】

JVNDB-2026-001026

Columbia Weather Systems製MicroServerにおける複数の脆弱性

概要

Columbia Weather Systemsが提供するMicroServerには、次の複数の脆弱性が存在します。
  • 意図しないエンドポイントとの通信を拒否しない（CWE-923）- CVE-2025-61939
  • ファイル内またはディスク上の平文保存（CWE-313）- CVE-2025-64305
  • 外部アクセス可能なディレクトリ内のコマンドシェル（CWE-553）- CVE-2025-66620

CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Columbia Weather Systems
  • Weather MicroServer ファームウェア MS_4.1_14142より前のバージョン

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。
  • 当該製品の管理者アクセス権を持ち、DNS応答を操作できるローカルの攻撃者によって、攻撃者が制御するデバイスへSSH接続でリダイレクトさせられる（CVE-2025-61939）
  • ベンダファームウェアを改ざんされたり、ウェブポータルの管理者アクセス権を取得されたりする（CVE-2025-64305）
  • 当該製品の管理者アクセス権を持つ攻撃者によって、限定的なシェルアクセス権の取得およびリバースシェルを介したアクセス権の永続化をされたり、ファイルシステムに保存されたデータの改ざんや削除をされたりする（CVE-2025-66620）

対策

[アップデートする]
開発者は、アップデートを提供しています。
アップデートの取得については、直接メールまたは電話で開発者にお問い合わせください。
詳細は、ICS Advisoryの情報を確認してください。
ベンダ情報

Columbia Weather Systems
CWEによる脆弱性タイプ一覧  CWEとは?

  1. ファイル内またはディスク上の平文保存(CWE-313) [その他]
  2. 意図するエンドポイントとの通信チャネルの不適切な制限(CWE-923) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2025-61939
  2. CVE-2025-64305
  3. CVE-2025-66620
参考情報

  1. JVN : JVNVU#98349563
  2. ICS-CERT ADVISORY : ICSA-26-006-01
更新履歴

  • [2026年01月08日]
      掲載

公表日2026/01/07
登録日2026/01/08
最終更新日2026/01/08