【活用ガイド】

[English]

JVNDB-2023-000074

富士通製リアルタイム映像伝送装置「IPシリーズ」におけるハードコードされた認証情報の使用の脆弱性

概要

富士通株式会社が提供するリアルタイム映像伝送装置「IPシリーズ」には、ハードコードされた認証情報の使用 (CWE-798) の脆弱性が存在します。
リバースエンジニアリング等により、当該製品の工場試験用の認証情報を取得される可能性があります。

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 5.9 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 2.6 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


富士通
  • IP-90 ファームウェアバージョン V01L001 から V01L013 まで
  • IP-900D ファームウェアバージョン V01L001 から V02L061 まで
  • IP-900E ファームウェアバージョン V01L001 から V02L061 まで
  • IP-900ⅡD ファームウェアバージョン V01L001 から V02L061 まで
  • IP-920D ファームウェアバージョン V01L001 から V02L061 まで
  • IP-920E ファームウェアバージョン V01L001 から V02L061 まで
  • IP-9610 ファームウェアバージョン V01L001 から V02L007 まで
  • IP-HE900D ファームウェアバージョン V01L001 から V01L004 まで
  • IP-HE900E ファームウェアバージョン V01L001 から V01L010 まで
  • IP-HE950D ファームウェアバージョン V01L001 から V01L053 まで
  • IP-HE950E ファームウェアバージョン V01L001 から V01L053 まで

想定される影響

取得した認証情報を用いて Web インターフェースにログインした攻撃者によって、装置の初期化や再起動などが行われ、結果として映像伝送の停止を引き起こされる可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。

[ワークアラウンドを実施する]
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。
  • セキュアなネットワーク上に製品を配置する
ベンダ情報

富士通
CWEによる脆弱性タイプ一覧  CWEとは?

  1. その他(CWE-Other) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2023-38433
参考情報

  1. JVN : JVN#95727578
  2. National Vulnerability Database (NVD) : CVE-2023-38433
  3. ICS-CERT ADVISORY : ICSA-23-248-01
更新履歴

  • [2023年07月26日]
      掲載
  • [2023年09月06日]
      参考情報:内容を更新
  • [2024年04月12日]
      参考情報：National Vulnerability Database (NVD) (CVE-2023-38433) を追加

公表日2023/07/26
登録日2023/07/26
最終更新日2024/04/12