| 独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原武平太）は、「AirStation
シリーズ」および「BroadStation シリーズ」におけるセキュリティ上の弱点（脆弱性）に関する注意喚起を2007年10月12日に公表しました。
これは、「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面にログイン中の利用者が、悪意あるページを閲覧した場合に、ウェブ設定画面で意図しない操作をさせられてしまうものです。
悪用されると、対象製品の管理用パスワードを変更したり、場合によってはインターネット側からウェブ設定画面へのアクセスを許可してしまうなどの、意図しない設定変更をさせられてしまう可能性があります。
対策方法は「ファームウェアを最新バージョンにアップデートする」ことです。
|
１．概要
バッファロー製「AirStation シリーズ」および「BroadStation シリーズ」は、ウェブ設定画面を利用することで、ウェブブラウザで製品を設定できます。
「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面には、クロスサイト・リクエスト・フォージェリ(CSRF)(*1)というセキュリティ上の弱点（脆弱性）があるため、悪意あるページを読み込んだ利用者が、ウェブ設定画面で意図しない操作をさせられてしまう可能性があります。
【対象製品】
(1)AirStation WZR-RS-G54HP
(2)AirStation WZR-RS-G54
(3)AirStation WHR2-G54V (2007年10月29日追記)
(4)BroadStation BHR-4RV (2007年10月29日追記)
２．セキュリティ上の弱点（脆弱性）による影響
「AirStation シリーズ」および「BroadStation シリーズ」のウェブ設定画面にログイン中の利用者が、悪意あるページを閲覧した場合に、対象製品の管理用パスワードを変更したり、場合によっては、インターネット側からウェブ設定画面へのアクセスを許可してしまうなどの、意図しない設定変更をさせられてしまう可能性があります。
結果として、対象製品が悪意あるユーザによって制御される可能性があります。
最新情報は、次のURLを参照して下さい。
http://jvndb.jvn.jp/contents/ja/2007/JVNDB-2007-000875.html
３．対策方法
対策方法は「ファームウェアを最新バージョンにアップデートする」ことです。
なお、一般的にウェブサイト利用者は、このような被害にあわないために、ウェブサイトにログインして作業を行う場合、なるべくその作業だけをするようにし、作業後は必ずログアウトするよう心がけてください。
４．本脆弱性の深刻度
(1)評価結果
| 本脆弱性の深刻度 |
□
I（注意） |
■
II（警告） |
□
III（危険） |
| 本脆弱性のCVSS基本値 |
|
4.0 |
|
(2)CVSS基本値の評価内容
| 注）・ |
■：選択した評価結果 |
| ・ |
AV:AccessVector, AC:AccessComplexity, Au:Authentication,
C:ConfidentialityImpact, I:IntegrityImpact, A:AvailabilityImpact |
５．参考情報
「情報セキュリティ早期警戒パートナーシップ」について
ソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン）に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています（図5-1参照）。
最新の届出状況は、 「脆弱性関連情報に関する届出状況（プレスリリース）」
を参照下さい。
なお、今回公表した脆弱性情報は、2006年10月3日に IPA が届出を受け、有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）が、製品開発者と調整を行ない、2007年10月12日に公表したものです。
図5-1．「情報セキュリティ早期警戒パートナーシップ」の基本枠組み
『脚注』
(*1) ：CSRFの概要や想定される脅威、対策などは、「知っていますか？脆弱性」を参照下さい。
http://www.ipa.go.jp/security/vuln/vuln_contents/
■ ニュースリリース全文
■本内容に関するお問い合わせ先
独立行政法人 情報処理推進機構
セキュリティセンター（IPA/ISEC）
TEL：03-5978-7527 FAX：03-5978-7518
E-mail：
■報道関係からの問い合わせ先
独立行政法人 情報処理推進機構
戦略企画部 広報グループ 横山／佐々木
TEL：03-5978-7503 FAX：03-5978-7510
E-mail：
更新履歴
| 2007年11月26日 |
最新情報のURLを、JVN iPediaへのリンクに修正しました。 |
| 2007年10月29日 |
対象製品に「AirStation WHR2-G54V」と「BroadStation BHR-4RV」を追加 |
| 2007年10月12日 |
掲載（対象製品「AirStation WZR-RS-G54HP」と「AirStation
WZR-RS-G54」） |
|