情報処理推進機構：情報セキュリティ：複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

HOME >> 情報セキュリティ >> 脆弱性対策 >> 複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

情報セキュリティ

複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

最終更新日　2008年1月28日
掲載日　2008年1月28日
>> ENGLISH

　独立行政法人情報処理推進機構（略称：IPA、理事長：藤原武平太）は、複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）に関する注意喚起を、2008年1月28日に公表しました。
　これは、複数のヤマハルーター製品のウェブ管理画面にログイン中の利用者が悪意あるページを閲覧した場合に、ウェブ管理画面で意図しない操作をさせられてしまうものです。
　悪用されると、対象製品の管理用パスワードを変更されたり、対象製品の設定を変更させられてしまうなどの、意図しない設定変更をさせられてしまう可能性があります。
　対策方法は「ファームウェアを最新バージョンにアップデートする」あるいは「設定を変更する」ことです。

１．概要

　ヤマハ株式会社が提供する、ファイアウォールルーター「SRT100」、ブロードバンドVoIPルーターの「RT58i」、イーサアクセスVPNルーター「RTX1100」などのヤマハルーター製品には、ウェブ管理画面を利用することでウェブラウザから各機能を設定できるものがあります。

　この、ウェブ管理画面には、クロスサイト・リクエスト・フォージェリ(CSRF)(*1)というセキュリティ上の弱点（脆弱性）があるため、悪意あるページを閲覧した利用者が、ウェブ管理画面で意図しない操作をさせられてしまう可能性があります。

　対象製品の詳細は、次のURLを参照して下さい。
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVN88575577.html

　最新情報は、次のURLを参照して下さい。
http://jvndb.jvn.jp/contents/ja/2008/JVNDB-2008-000005.html

　本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、2007年10月16日に次の方からIPAが届出を受け、有限責任中間法人 JPCERT コーディネーションセンター（JPCERT/CC）が製品開発者と調整を行ない、2008年1月28日に公表したものです。
　報告者：片桐弘敬氏

２．脆弱性による影響

　ヤマハルーター製品の管理者がウェブ管理画面にログインした状態で悪意あるページを読み込んだ場合、パスワードなどの設定が変更される可能性があります。

　この結果、同製品が悪意あるユーザによって設定を変更され、制御される恐れがあります。

複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）

３．対策方法

　対策方法は「ファームウェアを最新バージョンにアップデートする」あるいは「設定を変更する」ことです。対象製品毎に対策方法が異なりますので、ヤマハ株式会社が提供する、次のURLの情報をもとに対応して下さい。
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVN88575577.html

４．本脆弱性の深刻度

(1)評価結果

本脆弱性の深刻度	□ I（注意）	■ II（警告）	□ III（危険）
本脆弱性のCVSS基本値		4.0

(2)CVSS基本値の評価内容

AV：攻撃元区分	□ ローカル	□ 隣接	■ ネットワーク
AC：攻撃条件の複雑さ	■ 高	□ 中	□ 低
Au：攻撃前の認証要否	□ 複数	□ 単一	■ 不要
C：機密性への影響　（情報漏えいの可能性）	■ なし	□ 部分的	□ 全面的
I：完全性への影響　（情報改ざんの可能性）	□ なし	■ 部分的	□ 全面的
A：可用性への影響　（業務停止の可能性）	□ なし	■ 部分的	□ 全面的

注）・■：選択した評価結果
・AV:AccessVector, AC:AccessComplexity, Au:Authentication,
C:ConfidentialityImpact, I:IntegrityImpact, A:AvailabilityImpact

５．参考情報

(1)「情報セキュリティ早期警戒パートナーシップ」について

　ソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン）に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています（図5-1参照）。

　最新の届出状況は、「脆弱性関連情報に関する届出状況（プレスリリース）」を参照下さい。