JVNDB-2015-002961
|
Toshiba 4690 OS に情報漏えいの脆弱性
|
|
Toshiba 4690 Operating System には、情報漏えいの脆弱性が存在します。
情報漏えい (CWE-200) - CVE-2014-4876
Toshiba 4690 Operating System には、情報漏えいの脆弱性が存在します。システムの 54138/tcp に対して細工された文字列が送信されると、環境変数を含む情報が送信元のクライアントに返されます。
CWE-200: Information Exposure
http://cwe.mitre.org/data/definitions/200.html
開発者は、4690 OS のサポート機能の一部として情報漏えいが発生するのは仕様であるとして、次のように主張しています。
クライアントに返されるデータには、Toshiba 4690 OS の現在の状態に関する情報が含まれ、この情報は問題の特定のために利用されます。この情報は、4690 OS のシステム管理機能である 4690 システムの API や RMA (Remote Management Agent) から取得できる情報と基本的に同じであり、機微な情報 (PCI) は含まれていません。
|
|
CVSS v2 による深刻度
基本値: 4.3 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): なし
- 可用性への影響(A): なし
|
|
|
TOSHIBA Global Commerce Solutions, Inc.
- Toshiba 4690 Operating System version 6 (Release 3)
|
これ以前のバージョンも本脆弱性の影響を受ける可能性があります。
|
|
遠隔の第三者に、機密情報を取得される可能性があります。
|
|
2015年6月9日現在、対策方法は不明です。
[サービスを無効にする]
開発者は次のワークアラウンドの適用を提案しています。詳しくはベンダ情報を参照してください。
The user should disable the ADXSITCF logical name to the string -q. This will disable the services that connect with the network to provide this information, however it will also disable RMA system management data collection as well as prevent the use of ADXSITQL by support teams for gathering information without dumping the machine.
ベンダ情報：Toshiba Commerce Solutions Information for VU#924506
http://www.kb.cert.org/vuls/id/JLAD-9X4TDL
|
|
IBM
TOSHIBA Global Commerce Solutions, Inc.
- TOSHIBA Global Commerce Solutions : Top Page
|
|
- 情報漏えい(CWE-200) [NVD評価]
|
|
- CVE-2014-4876
|
|
- JVN : JVNVU#92189302
- National Vulnerability Database (NVD) : CVE-2014-4876
- US-CERT Vulnerability Note : VU#924506
- US-CERT Vulnerability Note : Toshiba Commerce Solutions Information for VU#924506
|
|
- [2015年06月10日]
掲載
[2016年01月12日]
参考情報：National Vulnerability Database (NVD) (CVE-2014-4876) を追加
CVSS による深刻度：内容を更新
|
