|
[English]
|
JVNDB-2024-003253
|
シャープ製および東芝テック製の複合機（MFP）における複数の脆弱性
|
|
シャープ株式会社および東芝テック株式会社が提供する複数の複合機（MFP）には、次の複数の脆弱性が存在します。
* スタックベースのバッファオーバーフロー（CWE-121） - CVE-2024-28038
* 不適切なアクセス権限付加（CWE-732） - CVE-2024-28955
* 重要な情報の平文保存（CWE-312） - CVE-2024-29146
* パスワードの平文保存（CWE-256） - CVE-2024-29978
* 復元可能な形式でのパスワード保存（CWE-257） - CVE-2024-32151
* パストラバーサル（CWE-22） - CVE-2024-33605
* アクセス制限不備（CWE-284） - CVE-2024-33610、CVE-2024-33616
* ネゴシエーション中の安全性の低いアルゴリズムの選択（CWE-767） - CVE-2024-34162
* ハードコードされた認証情報の使用（CWE-798） - CVE-2024-35244、CVE-2024-36248
* クロスサイトスクリプティング（CWE-79） - CVE-2024-36249
* 境界外読み取り（CWE-125） - CVE-2024-36251、CVE-2024-36254
次の脆弱性に関しては、Pierre Barre 氏が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行い公表に至りました。
CVE-2024-28038、CVE-2024-28955、CVE-2024-29146、CVE-2024-29978、CVE-2024-32151、CVE-2024-33605、CVE-2024-33610、CVE-2024-33616、CVE-2024-34162、CVE-2024-35244、CVE-2024-36248、CVE-2024-36251、CVE-2024-36254
次の脆弱性に関しては、開発者が複数の発見者から直接報告を受け調整し、製品利用者への周知を目的に開発者が JPCERT/CC に報告し、公表に至りました。
CVE-2024-33610、CVE-2024-36249、CVE-2024-36251、CVE-2024-36254
|
|
CVSS v3 による深刻度
基本値: 9.1 (緊急) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): なし
※上記は、CVE-2024-33610、CVE-2024-35244、CVE-2024-36248 の評価になります。
|
CVSS v3 による深刻度
基本値:9.0 (緊急) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
※上記は、CVE-2024-28038 の評価になります。
|
CVSS v3 による深刻度
基本値:5.9 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2024-28955、CVE-2024-29146、CVE-2024-29978、CVE-2024-32151 の評価になります。
|
CVSS v3 による深刻度
基本値:7.5 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2024-33605 の評価になります。
|
CVSS v3 による深刻度
基本値:5.3 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): なし
- 可用性への影響(A):
※上記は、CVE-2024-33616、CVE-2024-34162 の評価になります。
|
CVSS v3 による深刻度
基本値:7.4 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2024-36249 の評価になります。
|
CVSS v3 による深刻度
基本値:7.5 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): なし
- 可用性への影響(A): 高
※上記は、CVE-2024-36251、CVE-2024-36254 の評価になります。
|
|
|
シャープ株式会社
東芝テック
|
影響を受ける製品、モデル番号、バージョンなどの詳細については、各開発者が提供する情報を確認してください。
|
|
想定される影響は各脆弱性によって異なりますが、次のような可能性があります。
* 複合機の管理ページに対し細工されたリクエストを送信することで、複合機がサービス運用妨害 (DoS) 状態となる
* 複合機内のファイルが閲覧可能となり、プログラム中の情報を参照される
* 複合機の一部の情報に対し意図しない権限でアクセスが可能となる
* 複合機の管理ページにおいて、任意のスクリプトが実行される
* 複合機ファームウェア上で任意のコードが実行される
詳しくは、各開発者が提供する情報を確認してください。
|
|
[アップデートする]
各製品開発者が提供する情報をもとに、ファームウェアをアップデートしてください。
[ワークアラウンドを実施する]
次の軽減策を適用することで、本脆弱性の影響を軽減することが可能です。
* 複合機をインターネットに直接接続せず、ファイアウォールやルーター等で保護されたネットワーク内で使用する
* パスワードを設定することで、複合機の Web ページへのアクセスを制限する（*1）
* 複合機の管理者パスワードを工場出荷時の初期値から変更し、適切に管理する
（*1）日本市場向け製品においては、この機能は工場出荷値で有効と設定されているが、日本市場向け以外の製品では無効と設定されている
対策方法の詳細については、［ベンダ情報］に掲載の各製品開発者が提供している情報を参照してください。
|
|
シャープ株式会社
東芝テック
|
|
- スタックベースのバッファオーバーフロー(CWE-121) [その他]
- 境界外読み取り(CWE-125) [その他]
- パス・トラバーサル(CWE-22) [その他]
- 認証情報の平文保存(CWE-256) [その他]
- 復元可能な形式でのパスワード保存(CWE-257) [その他]
- 不適切なアクセス制御(CWE-284) [その他]
- 重要な情報の平文保存(CWE-312) [その他]
- 重要なリソースに対する不適切なパーミッションの割り当て(CWE-732) [その他]
- 公開メソッドによる重要な内部変数へのアクセス(CWE-767) [その他]
- クロスサイトスクリプティング(CWE-79) [その他]
- ハードコードされた認証情報の使用(CWE-798) [その他]
|
|
- CVE-2024-28038
- CVE-2024-28955
- CVE-2024-29146
- CVE-2024-29978
- CVE-2024-32151
- CVE-2024-33605
- CVE-2024-33610
- CVE-2024-33616
- CVE-2024-34162
- CVE-2024-35244
- CVE-2024-36248
- CVE-2024-36249
- CVE-2024-36251
- CVE-2024-36254
|
|
- JVN : JVNVU#93051062
|
|
|
