トップページへ
リブーター,スケジューラー,接点コンバーターの
WEB GUIにおける脆弱性について
 
初版公開日 2022年5月6日
1.02版(2022/5/11)
 
明京電機株式会社
 
■概要
弊社リブーター,スケジューラー,接点コンバーターのWEB GUIにおいて脆弱性が発見されました。悪意のある攻撃者に悪用された場合,意図せぬ画面表示になることがあります。また,WEB GUIにてログイン中に,悪意のある攻撃者が細工を施したページを別タブで開き,その仕掛けの条件に合致すると意図せぬリセットや制御がなされる可能性があります。
 
■CVSSv3スコア
[クロスサイトリクエストフォージェリ] CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L/BS:5.4
[クロスサイトスクリプティング] CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N/BS:3.5
 
■該当製品の確認方法
影響を受ける製品は以下の製品です。
製品名 型名 該当ファームウェアバージョン
・WATCH BOOT nino RPC-M2C[販売終了製品] 全てのFWバージョン
・WATCH BOOT light RPC-M5C[販売終了製品] 全てのFWバージョン
・WATCH BOOT L-zero RPC-M4L[販売終了製品] 全てのFWバージョン
・WATCH BOOT mini RPC-M4H[販売終了製品] 全てのFWバージョン
・WATCH BOOT nino RPC-M2CS 1.00A~1.00D
・WATCH BOOT light RPC-M5CS 1.00A~1.00D
・WATCH BOOT L-zero RPC-M4LS 1.00A~1.20A
・サイネージリブーター RPC-M4HSi 1.00A
・PoE BOOT nino PoE8M2 1.00A~1.20A
・TIME BOOT mini RSC-MT4H[販売終了製品] 全てのFWバージョン
・TIME BOOT RSC-MT8F[販売終了製品] 全てのFWバージョン
・TIME BOOT RSC-MT8FP[販売終了製品] 全てのFWバージョン
・TIME BOOT mini RSC-MT4HS 1.00A~1.10A
・TIME BOOT RSC-MT8FS 1.00A~1.00E
・POSE SE10-8A7B1 1.00A~1.20A
 
●使用しているバージョンの確認方法
WEB GUIにて「システム情報」画面の「バージョン」をご確認ください。
 
■脆弱性の説明
弊社リブーター,スケジューラー,接点コンバーターのWEB GUIにはクロスサイトスクリプティング(CWE-79)の脆弱性により,攻撃者が管理者権限を乗っ取った場合に画面表示の改竄が起きる可能性があります。また,クロスサイトリクエストフォージェリ(CWE-352)の脆弱性により,WEB GUIにてログイン中に,悪意のある攻撃者が細工を施したページを別タブで開き,その仕掛けの条件に合致すると意図せぬリセットや制御がなされる可能性があります。
 
 
■対策方法
●クロスサイトリクエストフォージェリ(CWE-352)の脆弱性に関しては,次項の「■回避策」にて対策をお願いいたします。
 
●クロスサイトスクリプティング(CWE-79)の脆弱性への対策を施したファームウェアバージョンは次のとおりです。
製品名 型名 対策ファームウェアバージョン
・WATCH BOOT nino RPC-M2CS 1.00E
・WATCH BOOT light RPC-M5CS 1.00E
・WATCH BOOT L-zero RPC-M4LS 1.30A(※)
・サイネージリブーター RPC-M4HSi 1.10A
・PoE BOOT nino PoE8M2 1.30A
・TIME BOOT mini RSC-MT4HS 1.20A(※)
・TIME BOOT RSC-MT8FS 1.20A(※)
・POSE SE10-8A7B1 1.30A

(※)当ページ1.00~1.01版では,RPC-M4LSは1.20B,RSC-MT4HSは1.10B,RSC-MT8FSは1.00Fを「対策ファームウェアバージョン」としていましたが,その後,新機能も合わせて実装するメジャーバージョンアップの予定となりましたので,「対策ファームウェアバージョン」を上記のように変更しました。
 
リリース済みの場合は,上記のバージョンのところにリンクが貼られ,そこをクリックすると「バージョンアップツール」を取得できるページに遷移します。(また,オンラインバージョンアップ対応機種であればそちらからでも可能です。)

●販売終了製品であるWATCH BOOTシリーズRPC-M2C/M5C/M4L/M4H,TIME BOOTシリーズRSC-MT4H/MT8F/MT8FPに関しては修正ファームウェア作成予定はありません。ご了承ください。後継機種への移行をお勧めいたします。
 
 
■回避策
●クロスサイトリクエストフォージェリ(CWE-352)の脆弱性
WEB GUIにてログイン中,同じWEBブラウザの別タブにて他のページを閲覧しないようにしてください。
 
■謝辞
横浜国立大学の佐々木貴之氏よりこの問題をご報告いただき,弊社製品のセキュリティ面を強化することができました。感謝申し上げます。
 
■お客様からのお問い合わせ先
弊社カスタマーサポートにまでお問い合わせください。
 
〈お問い合わせ|明京電機株式会社〉
https://www.meikyo.co.jp/contact/


トップページへ