【活用ガイド】

JVNDB-2011-001024

PolyVision RoomWizard に脆弱性

概要

PolyVision RoomWizard には、遠隔の第三者によって、管理者インターフェースにアクセスされ、Active Directory の認証情報を入手される可能性があります。

PolyVision RoomWizard は、ウェブベースの会議室予約システムです。Sync Connector は、RoomWizard が、Microsoft Windows Actitve Directory (AD) 環境の Microsoft Exchange と連携するための機能です。PolyVision RoomWizard の管理者インターフェースには、Sync Connector が使う Active Directory のパスワードが漏えいする脆弱性が存在します。

また、PolyVision RoomWizard に HTTP 経由でアクセスするための管理用アカウント情報の出荷時設定は、第三者に入手される可能性があります。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 5.0 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


PolyVision
  • RoomWizard firmware version 3.2.3

想定される影響

遠隔の第三者によって、AD の認証情報を盗まれる可能性があります。また、本製品の設定を変更される可能性があります。
対策

[ファームウェアをアップデートし、管理者用パスワードを変更する]
ベンダが提供する情報をもとにファームウェアを最新版 (version 3.5) へアップデートしてください。また、管理者インターフェースのパスワードを変更してください。
ベンダ情報

PolyVision
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 情報漏えい(CWE-200) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2010-0214
参考情報

  1. JVN : JVNVU#870601
  2. National Vulnerability Database (NVD) : CVE-2010-0214
  3. US-CERT Vulnerability Note : VU#870601
  4. SecurityFocus : 45699
  5. ISS X-Force Database : 64543
  6. VUPEN Security : VUPEN/ADV-2011-0059
更新履歴

  • [2011年02月02日]
      掲載

公表日2011/01/11
登録日2011/02/02
最終更新日2011/02/02