Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

三菱電機の家電やHEMSなどに脆弱性 - アップデートや緩和策の実施を

三菱電機が提供する家庭向け電気製品や「HEMS(Home Energy Management System)」などに脆弱性が判明した。

エアコンやクッキングヒーター、冷蔵庫、炊飯器といった生活家電をはじめ、太陽光発電、HEMS関連機器、給湯器、バス乾燥システムなどに脆弱性が明らかとなったもの。

特にHTTP接続により平文で「Basic」認証を使用する「CVE-2022-33321」については影響が多岐に及ぶ。通信の盗聴により認証情報を窃取され、不正アクセスを受けた場合、機器に関する情報の漏洩や改ざん、サービス拒否などを受けるおそれがある。同社は共通脆弱性評価システム「CVSSv3.1」のベーススコアを「5.9」と評価した。

また一部製品には、解放後のメモリを使用し、サービス拒否に陥るおそれがある「CVE-2022-29859」や、クリスサイトスクリプティングの脆弱性「CVE-2022-33322」なども判明した。同社はCVSS基本値をそれぞれ「3.1」「6.8」とした。

同社では対象となる製品を明らかにするとともに、対策を公開。脆弱性情報のポータルサイトであるJVNなども注意を呼びかけている。

脆弱性を修正するアップデートが用意されている製品は、エアコンやスマートスイッチなど一部に限られている。多くの製品は、インターネットに機器を公開することを避けたり、堅牢な暗号化によりWi-Fi通信を保護する、LAN内における端末において基本的なセキュリティ対策を徹底するなど、リスクを低減する緩和策にとどまっている。

(Security NEXT - 2022/10/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

深層学習プラットフォーム「PaddlePaddle」に深刻な脆弱性
セキュア開発が学べる無料オンラインコンテンツ - Linux Foundation
府立高校で1クラスの出席簿を紛失 - 大阪府
PC遠隔操作で顧客情報流出の可能性 - スズキディーラー
フィッシングURL、ピークの9月から2カ月で半減 - 「偽Amazon」が急増
スポーツ施設の工事委託先にサイバー攻撃 - 東京都
「Apache Camel」にLDAPインジェクションの脆弱性
「MS Edge」にセキュリティアップデート - ゼロデイ脆弱性を解消
フォーラムソフト「NodeBB」にアカウント乗っ取りが可能となる脆弱性
政府、アクセス制御製品の研究開発情報を募集