日本警告I-O Data無線基地臺零時差漏洞已出現攻擊行動

12月4日日本電腦網路危機處理暨協調中心（JPCERT/CC）針對I-O Data無線基地臺用戶提出警告，UD-LT1、UD-LT1/EX兩款LTE無線基地臺存在3項漏洞CVE-2024-45841、CVE-2024-47133、CVE-2024-52564，他們已掌握漏洞利用攻擊的情況。

這些漏洞最初在11月13日揭露，設備廠商I-O Data表示，它們涉及重要資源不正確的權限分配、作業系統命令注入，以及非文件功能包含（Inclusion of Undocumented Features，CWE-1242），CVSS風險介於6.5至7.5分。

一旦攻擊者利用這些漏洞，就有機會利用訪客帳號存取含有帳密資料的檔案，或是利用已登入的管理者帳號執行任意作業系統命令，甚至能遠端停用防火牆的功能，並進一步執行任意作業系統命令，或是竄改裝置組態設定。

值值得留意的是，目前I-O Data僅修補CVE-2024-52564，先發布2.1.9版韌體解決這個問題，至於其餘兩個漏洞的處理，預計12月18日推出2.2.0版韌體修補。在新版韌體尚未推出之前，I-O Data呼籲用戶應依照公告網頁上的指示，採取緩解措施，限縮存取管理介面的管道、修改管理者及訪客帳號的密碼因應。