京セラ製のプリンタや複合機に脆弱性 - リモートでPWなど取得可能
京セラドキュメントソリューションズ製のプリンタや複合機に脆弱性が明らかとなった。
同社製のカラーやモノクロ複合機、プロダクションプリンタの複数機種において認証情報が十分に保護されていない脆弱性「CVE-2022-1026」が明らかとなったもの。
ユーザー認証を設定している場合でも、SOAPインターフェイス経由でアクセスすると、認証なしにアドレスブックに含まれるユーザー名やパスワードなどの情報を取得することができるという。共通脆弱性評価システム「CVSSv3.0」のベーススコアは「8.6」とレーティングされている。
同脆弱性はRapid7のAaron Herndon氏が発見、2021年11月に報告したもので、公表にあたり、JPCERTコーディネーションセンターが調整した。
Rapid7では、脆弱性の詳細や実証コード(PoC)などを公表。外部FTPやSMBサーバをはじめとする他エンドポイントで利用するパスワードなどを取得されることへの懸念を示している。
京セラドキュメントソリューションズでは、脆弱性を修正した最新版のファームウェアを用意しており、保守事業者へ更新を依頼するよう利用者へ注意を喚起。
また適用するまでは、リスクを軽減するため、インターネット経由のアクセスより保護された環境で利用するなど、緩和策を講じるよう呼びかけている。
(Security NEXT - 2022/04/15 )
ツイート
関連リンク
PR
関連記事
脅威情報共有プラットフォーム「MISP」に脆弱性 - パッチで修正
脆弱性スキャナ「Nessus」にセキュリティアップデート
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性
「BIND 9」にサービス拒否の脆弱性 - アップデートが公開
「Chrome」にセキュリティアップデート - 複数脆弱性を修正
WordPress向けショッピングカートプラグインに脆弱性 - 任意のファイルを閲覧されるおそれ
VMwareのログ管理ツールに複数の深刻なRCE脆弱性