情報取得日: 2026/06/23／最終確認: 2026/08/23・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-67038 |
|---|---|
| 製品 | Lantronix / EDS5000 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション |
| 登録／公開日 | 2026/06/23 |
| KEV 期限 | 2026/06/26 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダー指示に従って緩和策を適用（BOD 26-04 準拠） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-67038 |
Lantronix EDS5000（ファームウェア 2.1.0.0R3、EDS5008/5016/5032）の username パラメータがサニタイズなしでコマンドに連結され、root 権限でのコマンドインジェクションを許す脆弱性。デバイスサーバ（シリアル-Ethernet 変換機）で、認証失敗時のログ書き込み処理が悪用される。CISA KEV 登録済みで実際の悪用が確認されている。Lantronix はファームウェア 2.2.0.0R1（2026-02-20 提供開始）以降で修正している。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当なし（オンプレのデバイスサーバ機器）
EDS5000 は物理ネットワーク機器のため AWS の対象外。ファームウェア 2.2.0.0R1 以降への更新とネットワーク分離で対応。
参照リンク
|
| GCP | 対象外 |
該当なし（オンプレのデバイスサーバ機器）
GCP の対象外。
参照リンク
|
| Azure | 対象外 |
該当なし（オンプレのデバイスサーバ機器）
Azure の対象外。
参照リンク
|
| Linux | ベンダーFW更新 |
Lantronix 提供のファームウェア 2.2.0.0R1 以降へ更新
組み込み機器のため汎用 Linux ディストリのパッケージ対象外。修正ファームウェア 2.2.0.0R1 が 2026-02-20 に提供済み。
参照リンク
|
Lantronix 公式のファームウェア 2.2.0.0R1 以降へ更新するのが確実な方針（2026-02-20 提供開始）。すぐに更新できない場合、Lantronix は暫定策として (1) 初期認証情報の変更と弱いパスワードの禁止、(2) 該当機器へのネットワークアクセス制限、(3) ファイアウォール配下への設置、(4) 管理インタフェースを信頼できるネットワークのみに限定、の4点を挙げている。
Critical（CVSS 9.8）に分類されるLantronix EDS5000の脆弱性です。Lantronix EDS5000（ファームウェア 2.1.0.0R3、EDS5008/5016/5032）の username パラメータがサニタイズなしでコマンドに連結され、root 権限でのコマンドインジェクションを許す脆弱性。デバイスサーバ（シリアル-Ethernet 変換機）で、認証失敗時のログ書き込み処理が悪用される。CISA KEV 登録済みで実際の悪用が確認されている。Lantronix はファームウェア 2.2.0.0R1（2026-02-20 提供開始）以降で修正している。
Lantronix 公式のファームウェア 2.2.0.0R1 以降へ更新するのが確実な方針（2026-02-20 提供開始）。すぐに更新できない場合、Lantronix は暫定策として (1) 初期認証情報の変更と弱いパスワードの禁止、(2) 該当機器へのネットワークアクセス制限、(3) ファイアウォール配下への設置、(4) 管理インタフェースを信頼できるネットワークのみに限定、の4点を挙げている。
Lantronix EDS5000 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-67038）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/26 です。推奨される対応: ベンダー指示に従って緩和策を適用（BOD 26-04 準拠）
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/23）。