皆さんこんにちは。5月に自宅のルーターでそこそこの脆弱性を発見しましたが、今日ようやく皆さんにお見せできます！
このリポジトリにある2つの脆弱性は、どちらも認証済みのサービス拒否（DoS）脆弱性です！
これらの脆弱性がどのように、なぜ発生するのか、正確な技術的詳細は分かっていません。Calix（このケースのベンダー）からは返答を一切もらえなかったので、まあ、楽しいですね！
また、これは私にとって初めてのCVEであり、2つ目のCVEでもあります。2つで1つ、お得ですね。
CVE-2026-19745 は、リソースのシャットダウンまたは解放の不備によるDoSで、私のルーターに影響します :)
https://nvd.nist.gov/vuln/detail/CVE-2026-19745
「Calix GigaSpire 26.1.0 に欠陥が見つかりました。影響を受けるのは、Web管理インターフェースコンポーネントのファイル utilities_configurationsave.cgi の未知の関数です。引数 sessionKey を操作すると、サービス拒否を引き起こす可能性があります。攻撃はリモートから実行可能です。エクスプロイトは公開されており、使用される可能性があります。この開示についてベンダーには早期に連絡が行われましたが、いかなる形でも返答はありませんでした。」
VulDB は、適切なCWEは CWE-404 であると判断しました。私は CWE-835 を考えていたので、これは少し驚きでした。 残念ながら、これが発生した理由に関する技術的な詳細はありませんが、この2つのCVEを完全に偶然に見つけたことはお伝えできます。
5月30日: 脆弱性を発見。当初は単なるレート制限だと思っていましたが、別のコンピューターでウェブサイトを使用しようとしたところ、そうではないことが判明しました。
5月31日: 心の準備をした後、最初は間違っているかもしれないと思っても、報告する価値があると判断しました。
6月15日: 16歳になりました。タイムラインにとって明らかに非常に重要です。
6月24日: VulnDB に報告。
6月26日: Calix が（ようやく）返答。予想外でした。脆弱性は存在しないと主張しましたが、次のリリースで「パッチ」を適用する予定とのことでした。素晴らしいですね。同日、私の報告が実際の脆弱性であるという動画証拠を添えて返信しましたが、その後返答はありませんでした。
8月13日: VulDB によって CVE が割り当てられました。
Calix は、アプリケーションがユーザー入力を待機している間のタイムアウトによる予期された動作であると述べました。それは十分あり得ることですが、他のユーザーに影響を与えるべきではありません。
https://github.com/user-attachments/assets/6aa509d4-ee69-4ed6-a9bb-1324f77a7036
タイムラインが示すように、Calix はコミュニケーション不足のため、CVE の割り当て以外にはあまり役に立ちませんでした。私の知る限り、VulDB は Calix に連絡しましたが、彼ら自身も返答を得られませんでした。
彼らからもらった返答をお見せしたいところですが、残念ながらそれは許可されていません :( 基本的に、彼らは再現できなかったと言い、traceroot のもの（下記参照）を除いてパッチを適用するつもりはないとのことでした。
https://github.com/user-attachments/assets/62c1ae62-8d52-4e97-975c-3c14ee6d8c95
ブラウザーインターフェースが公開しているすべてのエンドポイントを調べていたところ、キャンセル操作を受け付ける traceroot.cmd に気づきました。
存在しない traceroot を単純にキャンセルしたらどうなるだろうと考えました。
試してみると、インターフェース全体がクラッシュし、全員がログアウトされ、過去のクッキーなどが無効化されるようです。
これが Calix がパッチを適用する予定のものです。DoS ではないと主張していますが、「予期しない」コードパスをトリガーするとのことです。
VulDB のモデレーションおよびセキュリティチームに多大な感謝を捧げたいと思います。彼らは私の報告をレビューし、真剣に受け止めてくれる素晴らしい仕事をしてくれました（ここにいる特定の誰かとは違って）。今後もさらに多くの報告を提出していきたいと思います！ :)
追伸: これを提出するときはとても緊張していました。なぜなら、このようなことをするのは初めてで、自分が見つけたものが脆弱性なのかどうか確信が持てなかったからです。しかし、これらの脆弱性すべてを別のコンピューターでテストしたときに確信しました！つまり、私の最初のコンピューターが攻撃者の役割を果たし、2台目のコンピューターがログインしている状態で、その影響が両方のコンピューターで確認されたのです！
VulDB の分析は行き過ぎだと思います（おそらく AI によるものですが）が、実際にはそうではないのに「重大なセキュリティ上の欠陥」と記載するなど、まあ何でもいいです。
タイムラインの間に、フォローアップのメールを2通ほど送りましたが、彼らが使用しているメールサービスからのエラー以外は何も得られず、以前のメールも無視されました。
神レベルのテクノロジー、本当にすごい
https://nvd.nist.gov/vuln/detail/CVE-2026-19745
https://nvd.nist.gov/vuln/detail/CVE-2026-19746
