【活用ガイド】

[English]

JVNDB-2023-002722

富士通製ネットワーク機器 Si-R シリーズおよび SR-M シリーズにおける認証回避の脆弱性

概要

富士通株式会社が提供するネットワーク機器 Si-R シリーズおよび SR-M シリーズの Web 管理インタフェースには、認証回避の脆弱性 （CWE-287 、 CVE-2023-38555） が存在します。

この脆弱性情報は、下記の方が JPCERT/CC に報告し、 JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ゼロゼロワン 佐藤勝彦 （ｇｏｒｏｈ＿ｋｕｎ） 氏
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 6.4 (警告) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 高
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 5.8 (警告) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 高
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 部分的
影響を受けるシステム


富士通
  • Si-R 130B ファームウェア すべてのバージョン
  • Si-R 220D ファームウェア すべてのバージョン
  • Si-R 30B ファームウェア すべてのバージョン
  • Si-R 370B ファームウェア すべてのバージョン
  • Si-R 570B ファームウェア すべてのバージョン
  • Si-R 90brin ファームウェア すべてのバージョン
  • Si-R G100 ファームウェア V02.54 およびそれ以前のバージョン
  • Si-R G100B ファームウェア V04.12 およびそれ以前のバージョン
  • Si-R G110B ファームウェア V04.12 およびそれ以前のバージョン
  • Si-R G120 ファームウェア V20.52 およびそれ以前のバージョン
  • Si-R G121 ファームウェア V20.52 およびそれ以前のバージョン
  • Si-R G200 ファームウェア V02.54 およびそれ以前のバージョン
  • Si-R G200B ファームウェア V04.12 およびそれ以前のバージョン
  • Si-R G210 ファームウェア V20.52 およびそれ以前のバージョン
  • Si-R G211 ファームウェア V20.52 およびそれ以前のバージョン
  • SR-M 50AP1 ファームウェア すべてのバージョン

想定される影響

当該製品へアクセス可能な第三者によって、当該製品の設定情報を取得されたり、設定の変更やリセット等の操作が行われる可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者によると、本脆弱性は次のファームウェアバージョンで修正されています。

　* Si-RG V2 系シリーズ
　　* Si-R G100 V02.55 およびそれ以降のバージョン
　　* Si-R G200 V02.55 およびそれ以降のバージョン
　* Si-RG V4 系シリーズ
　　* Si-R G100B V04.13 およびそれ以降のバージョン
　　* Si-R G110B V04.13 およびそれ以降のバージョン
　　* Si-R G200B V04.13 およびそれ以降のバージョン
　* Si-RG V20系 シリーズ
　　* Si-R G210 V20.53 およびそれ以降のバージョン
　　* Si-R G211 V20.53 およびそれ以降のバージョン
　　* Si-R G120 V20.53 およびそれ以降のバージョン
　　* Si-R G121 V20.53 およびそれ以降のバージョン

[ワークアラウンドを実施する]
アップデートが提供されない製品については、次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
　* 当該製品の設定変更により、HTTP/HTTPS 機能を無効にする
　* 当該製品のWeb管理インタフェースを使用しない

開発者によると、Si-R 30B および Si-R 130B については、回避策を適用するため次のファームウェアバージョンにアップデートする必要があるとのことです。
　* Si-R 30B V02.05
　* Si-R 130B V04.09

詳しくは、開発者が提供する情報をご確認ください。
ベンダ情報

富士通
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切な認証(CWE-287) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2023-38555
参考情報

  1. JVN : JVNVU#96643580
  2. National Vulnerability Database (NVD) : CVE-2023-38555
更新履歴

  • [2023年07月27日]
      掲載
  • [2023年08月03日]
      対策：内容を更新
  • [2024年04月19日]
      影響を受けるシステム：内容を更新

公表日2023/07/26
登録日2023/07/27
最終更新日2024/04/19