HOME情報セキュリティ情報セキュリティ対策脆弱性対策「AirStation シリーズ」および「BroadStation シリーズ」におけるセキュリティ上の弱点(脆弱性)の注意喚起について

本文を印刷する

情報セキュリティ

「AirStation シリーズ」および「BroadStation シリーズ」におけるセキュリティ上の弱点(脆弱性)の注意喚起について

独立行政法人 情報処理推進機構
セキュリティセンター

 独立行政法人 情報処理推進機構(略称:IPA、理事長:藤原武平太)は、「AirStation シリーズ」および「BroadStation シリーズ」におけるセキュリティ上の弱点(脆弱性)に関する注意喚起を2007年10月12日に公表しました。
 これは、「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面にログイン中の利用者が、悪意あるページを閲覧した場合に、ウェブ設定画面で意図しない操作をさせられてしまうものです。
  悪用されると、対象製品の管理用パスワードを変更したり、場合によってはインターネット側からウェブ設定画面へのアクセスを許可してしまうなどの、意図しない設定変更をさせられてしまう可能性があります。
 対策方法は「ファームウェアを最新バージョンにアップデートする」ことです。

1.概要

 バッファロー製「AirStation シリーズ」および「BroadStation シリーズ」は、ウェブ設定画面を利用することで、ウェブブラウザで製品を設定できます。

 「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面には、クロスサイト・リクエスト・フォージェリ(CSRF)(*1)というセキュリティ上の弱点(脆弱性)があるため、悪意あるページを読み込んだ利用者が、ウェブ設定画面で意図しない操作をさせられてしまう可能性があります。

【対象製品】

  • (1)AirStation WZR-RS-G54HP
  • (2)AirStation WZR-RS-G54
  • (3)AirStation WHR2-G54V (2007年10月29日追記)
  • (4)BroadStation BHR-4RV (2007年10月29日追記)

2.セキュリティ上の弱点(脆弱性)による影響

 「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面にログイン中の利用者が、悪意あるページを閲覧した場合に、対象製品の管理用パスワードを変更したり、場合によっては、インターネット側からウェブ設定画面へのアクセスを許可してしまうなどの、意図しない設定変更をさせられてしまう可能性があります。

 結果として、対象製品が悪意あるユーザによって制御される可能性があります。

 最新情報は、次のURLを参照して下さい。
http://jvndb.jvn.jp/contents/ja/2007/JVNDB-2007-000875.html

「AirStation WZR-RS-G54」および「AirStation WZR-RS-G54HP」におけるセキュリティ上の弱点

3.対策方法

 対策方法は「ファームウェアを最新バージョンにアップデートする」ことです。

 なお、一般的にウェブサイト利用者は、このような被害にあわないために、ウェブサイトにログインして作業を行う場合、なるべくその作業だけをするようにし、作業後は必ずログアウトするよう心がけてください。

4.本脆弱性の深刻度

注)■:選択した評価結果
AV:AccessVector, AC:AccessComplexity, Au:Authentication,
C:ConfidentialityImpact, I:IntegrityImpact, A:AvailabilityImpact

5.参考情報

「情報セキュリティ早期警戒パートナーシップ」について

 ソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン)に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています(図5-1参照)。

 最新の届出状況は、 「脆弱性関連情報に関する届出状況(プレスリリース)」を参照下さい。

 なお、今回公表した脆弱性情報は、2006年10月3日に IPA が届出を受け、有限責任中間法人JPCERTコーディネーションセンター(JPCERT/CC)が、製品開発者と調整を行ない、2007年10月12日に公表したものです。

-

図5-1.「情報セキュリティ早期警戒パートナーシップ」の基本枠組み

『脚注』

ニュースリリース全文 

■本内容に関するお問い合わせ先

独立行政法人 情報処理推進機構 セキュリティセンター(IPA/ISEC)
TEL:03-5978-7527 FAX:03-5978-7518

E-mail:電話番号:03-5978-7501までお問い合わせください。

■報道関係からの問い合わせ先

独立行政法人 情報処理推進機構 戦略企画部 広報グループ 横山/佐々木
TEL:03-5978-7503 FAX:03-5978-7510

E-mail:お問合せ先

更新履歴

2007年11月26日 最新情報のURLを、JVN iPediaへのリンクに修正しました。
2007年10月29日 対象製品に「AirStation WHR2-G54V」と「BroadStation BHR-4RV」を追加
2007年10月12日 掲載(対象製品「AirStation WZR-RS-G54HP」と「AirStation WZR-RS-G54」)