脆弱性情報

Webインタフェース機能における複数の脆弱性

影響：あり
報告日 2009/02/03

概要

Webインタフェース機能有効時に以下の攻撃を受ける可能性

  1. 特定のページへのHTTPリクエストを繰り返すことによるサービス不能攻撃
  2. 認証時にブルートフォースアタック(総当たり攻撃)によるパスワードの奪取
  3. クロスサイトスクリプティング攻撃による任意のスクリプトの実行
  4. バッファオーバーフローを用いることによる任意のコードの実行（CVE-2003-0899 [1]）

該当機種

本脆弱性のSEILシリーズ各機種への影響の有無を下記の表に示します。
下記の表でA～Dはそれぞれ概要のA～Dと対応します。

MODEL A B C D
SEIL/X1,X2 ― ― ― ○
SEIL/Turbo ○ ○ ― ―
SEIL/Plus ○ ○ ○ ―
SEIL/neu 128 ○ ○ ― ―

― : 影響を受けない

○ : 影響を受ける


また、本脆弱性の影響を受けるSEILシリーズ各機種のファームウェアバージョン
を下記の表に示します。

MODEL Firmware Version
SEIL/X1,X2 1.00～1.43
SEIL/Turbo 1.00～1.98
SEIL/Plus 1.00～1.98
SEIL/neu 128 2.00～2.46

SEILシリーズへの影響内容

SEILシリーズへの影響内容は下記の通りです。また、下記A～Dは概要のA～Dに対
応します。

  1. 特定のページへのHTTPリクエストを大量に受信すると、一部の機能が使用不可能な状態に陥ります。 この場合、SEILの再起動を行うまで使用不可能な状態が継続する可能性があります。
  2. Webインタフェースの認証に対してブルートフォースアタックが行われた場合、SEILのパスワードが奪取される可能性があります。
  3. 攻撃サイトを閲覧することによって利用者のブラウザ上で任意のスクリプトが実行される可能性があります。
  4. リモートの攻撃者によってSEIL上で任意のコードが実行される可能性があります。

SEILシリーズにおける対応

下記ファームウェアで、本脆弱性に対する修正を行いました。
以降のバージョンへの早急なアップデートを推奨します。

MODEL Firmware Version
SEIL/X1,X2 1.44 以降
SEIL/Turbo 1.99 以降
SEIL/Plus 1.99 以降
SEIL/neu 128 2.47 以降

設定による回避策

運用上の理由により早急なファームウェアの更新が行えない場合に、本脆弱性の影響を回避
する対策を下記に記載します。

  1. Webインタフェース機能を無効にする
    Webインタフェースによる設定を以下のコマンドを実行することで無効にする。
    httpd disable

関連情報

[1] Common Vulnerabilities and Exposures (CVE)
CVE-2003-0899

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0899

Page Top