|
[English]
|
JVNDB-2024-011256
|
シャープ製および東芝テック製複合機（MFP）における複数の脆弱性
|
|
シャープ株式会社および東芝テック株式会社が提供する複数の複合機（MFP）には、次の複数の脆弱性が存在します。
- 領域外メモリ参照（CWE-125）
- CVE-2024-42420
- デバイス Web ページにおけるキーワード検索の入力データ判定処理、SOAP 通信におけるリクエストパラメタの解析処理および実行処理に不備があり、領域外メモリ参照が発生する可能性がある
- 領域外メモリ参照（CWE-125）
- CVE-2024-43424
- HTTP リクエストのヘッダ解析処理に不備があり、領域外メモリ参照が発生する可能性がある
- 領域外メモリ参照（CWE-125）
- CVE-2024-45829
- デバイス Web ページからのデータダウンロード処理において、HTTP リクエストのクエリパラメタ解析処理に不備があり、領域外メモリ参照が発生する可能性がある
- パストラバーサル（CWE-22）
- CVE-2024-45842
- HTTP PUT リクエストの URI 判定処理に不備があり、意図しないファイルへのアクセスが可能
- 設定登録 API のアクセス制限不備（CWE-749）
- CVE-2024-47005
- 管理者のみに使用を制限する想定の設定登録 API を管理者権限を持っていないユーザが実行可能
- 認証処理の不備（CWE-288）
- CVE-2024-47406
- HTTP リクエストの認証判定処理に不備があり、認証機能を回避される可能性がある
- HTTP リクエストのクエリパラメタ解析処理の不備（CWE-644）
- CVE-2024-47549
- デバイス Web ページからの設定情報ダウンロード処理において、HTTP リクエストのクエリパラメタ解析処理に不備があり、HTTP レスポンスのヘッダに入力データが不適切な形で混入する
- 反射型クロスサイトスクリプティング（CWE-79）
- CVE-2024-47801
- HTTP リクエストのクエリパラメタの判定処理の不備に起因するクロスサイトスクリプティングの脆弱性
- 格納型クロスサイトスクリプティング（CWE-79）
- CVE-2024-48870
- デバイス Web ページの URI 情報登録における入力値判定処理の不備に起因するクロスサイトスクリプティングの脆弱性
この脆弱性情報は、製品利用者への周知を目的に、シャープ株式会社が JPCERT/CC に報告し、JPCERT/CC がシャープ株式会社との調整を行いました。
|
|
CVSS v3 による深刻度
基本値: 9.1 (緊急) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): 高
※上記は、CVE-2024-47406 の評価になります。
|
CVSS v3 による深刻度
基本値:8.1 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): なし
※上記は、CVE-2024-47005 の評価になります。
|
CVSS v3 による深刻度
基本値:7.5 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): なし
- 可用性への影響(A): 高
※上記は、CVE-2024-42420、CVE-2024-43424 の評価になります。
|
CVSS v3 による深刻度
基本値:7.4 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2024-47549、CVE-2024-47801 の評価になります。
|
CVSS v3 による深刻度
基本値:6.2 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 高
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2024-48870 の評価になります。
|
CVSS v3 による深刻度
基本値:5.3 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2024-45842 の評価になります。
|
CVSS v3 による深刻度
基本値:4.9 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 高
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): なし
- 可用性への影響(A): 高
※上記は、CVE-2024-45829 の評価になります。
|
|
|
シャープ株式会社
東芝テック
|
影響を受ける製品、モデル番号、バージョンなどの詳細については、各製品開発者が提供する情報をご確認ください。
|
|
想定される影響は各脆弱性によって異なりますが、次のような可能性があります。
* 細工された HTTP リクエストを処理することで、当該製品がハングアップする （CVE-2024-42420、CVE-2024-43424、CVE-2024-45829）
* 細工された HTTP リクエストを処理することで、当該製品の内部のファイルにアクセスされる （CVE-2024-45842）
* 管理者権限を持っていないユーザによって設定登録 API が使用される （CVE-2024-47005）
* 当該製品の Web ページの認証機構を迂回してアクセスされる （CVE-2024-47406）
* 当該製品を示す細工された URL にアクセスした場合、Web ブラウザ上で任意のスクリプトを実行される （CVE-2024-47549、CVE-2024-47801）
* 当該製品に対し管理者権限を持ったユーザが細工した入力を行うことで、当該製品にアクセスした他ユーザのウェブブラウザ上で任意のスクリプトを実行される （CVE-2024-48870）
|
|
[アップデートする]
各製品開発者が提供する情報をもとに、ファームウェアをアップデートしてください。
詳しくは、[ベンダ情報] に掲載の各製品開発者が提供する情報を参照してください。
[ワークアラウンドを実施する]
以下の対応を行うことにより、本脆弱性の影響を軽減することが可能です。
* 複合機をインターネットに直接接続せず、ファイアウォールやルーター等で保護されたネットワーク内で使用する
* パスワードを設定し複合機の Web ページへのアクセスを制限する（本機能は工場出荷時設定で有効になっており、初期パスワードはマニュアルに記載されています）
* 複合機の管理者パスワードを工場出荷時の初期値から変更し、適切に管理する
|
|
シャープ株式会社
東芝テック
|
|
- 境界外読み取り(CWE-125) [その他]
- パス・トラバーサル(CWE-22) [その他]
- 代替パスまたはチャネルを使用した認証回避(CWE-288) [その他]
- HTTP ヘッダのスクリプト構文の不適切な無効化(CWE-644) [その他]
- 危険なメソッドや機能の公開(CWE-749) [その他]
- クロスサイトスクリプティング(CWE-79) [その他]
|
|
- CVE-2024-42420
- CVE-2024-43424
- CVE-2024-45829
- CVE-2024-45842
- CVE-2024-47005
- CVE-2024-47406
- CVE-2024-47549
- CVE-2024-47801
- CVE-2024-48870
|
|
- JVN : JVNVU#95063136
|
|
|
