【活用ガイド】

[English]

JVNDB-2022-002338

プラネックスコミュニケーションズ製 MZK-DP150N における非公開の管理者向け機能の存在

概要

プラネックスコミュニケーションズ株式会社が提供する MZK-DP150N には、非公開の管理者向け画面が存在します (CVE-2021-37289、CWE-912)。

本製品の初期設定では、設定画面へのログインアカウントがすべての機器で共通になっています。
使用にあたっては、アカウント情報を初期設定から変更してください。

この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: Necrum Security Labs Thomas J. Knudsen 氏、Samy Younsi 氏
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 6.8 (警告) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
影響を受けるシステム


プラネックスコミュニケーションズ株式会社
  • MZK-DP150N ファームウェア v1.43 およびそれ以前

想定される影響

設定画面にログインできるユーザーによって、管理者権限で任意の OS コマンドを実行される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者は本脆弱性を修正した MZK-DP150N v1.44 を リリースしています。
ベンダ情報

プラネックスコミュニケーションズ株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 非公開の機能(CWE-912) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-37289
参考情報

  1. JVN : JVNVU#98291763
  2. National Vulnerability Database (NVD) : CVE-2021-37289
更新履歴

  • [2022年08月23日]
      掲載
  • [2024年06月14日]
      参考情報：National Vulnerability Database (NVD) (CVE-2021-37289) を追加

公表日2022/08/22
登録日2022/08/23
最終更新日2024/06/14