|
[English]
|
JVNDB-2026-026398
|
シャープ製および東芝テック製複合機（MFP）における複数の脆弱性
|
|
シャープ株式会社および東芝テック株式会社が提供する複数の複合機（MFP）には、次の複数の脆弱性が存在します。- 細工されたURLによってユーザー認証を回避される（CWE-425） - CVE-2026-60011
- キャッシュファイルの不完全なクリーンアップ（CWE-459） - CVE-2026-63545
- 初期設定ではユーザー認証機能が無効にされている（CWE-1188） - CVE-2026-63563
- 特定の地域向けに提供された製品の初期設定ではユーザー認証機能は無効にされており、アドレスブックの編集操作やドキュメントファイリング関連の機能はユーザー認証なしに使用可能になっています。
- 日本国内向けの製品は、本脆弱性の影響を受けません。
CVE-2026-60011およびCVE-2026-63563は、以下の方がシャープ株式会社に直接報告しました。
・CVE-2026-60011：Cyber 50 Defense Mohamed Abdelhady 氏
・CVE-2026-63563：John Jackson 氏
CVE-2026-63545は、シャープ株式会社がJPCERT/CCに報告しました。
|
|
CVSS v3 による深刻度
基本値: 5.3 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2026-60011 の評価になります。 |
CVSS v3 による深刻度
基本値:2.4 (注意) [その他]- 攻撃元区分: 物理
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: なし
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2026-63545 の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: なし
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2026-63563 の評価になります。
|
|
|
（複数のベンダ）
|
影響を受ける製品、モデル番号、バージョンなどの詳細については、各製品開発者が提供する情報をご確認ください。
|
|
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。- 閲覧権限のない画像を取得される（CVE-2026-60011）
- プリント時に当該製品内部にキャッシュされたファイルが削除されないまま残り、別のユーザーにアクセスされる（CVE-2026-63545）
- 当該製品を初期設定のまま使用している場合、アドレスブックの編集操作やドキュメントファイリング関連の機能などをユーザー認証なしに使用される（CVE-2026-63563）
|
|
CVE-2026-60011、CVE-2026-63545
[アップデートする]
各製品開発者が提供する情報をもとに、ファームウェアをアップデートしてください。
CVE-2026-63563
[ワークアラウンドを実施する]
各製品開発者が提供する情報をもとに、軽減策を適用してください。
詳しくは、[ベンダ情報]に掲載の各製品開発者が提供する情報を参照してください。
|
|
シャープ株式会社
東芝テック
|
|
- リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]
- リクエストの直接送信(CWE-425) [その他]
- 不完全なクリーンアップ(CWE-459) [その他]
|
|
- CVE-2026-60011
- CVE-2026-63545
- CVE-2026-63563
|
|
- JVN : JVNVU#98759887
|
|
|
