フルノシステムズ製の一部スイッチにパスワード未設定の脆弱性

フルノシステムズ製マネージド・スイッチ「ACERA 9010」シリーズにおいて、初期パスワードが未設定となっている脆弱性が判明した。

脆弱性情報のポータルサイトであるJVNによれば、「ACERA 9010-24」「ACERA 9010-08」の工場出荷設定では、パスワードが未設定のまま、リモートアクセスが可能となっている脆弱性「CVE-2024-28744」が判明したという。

出荷時の設定から変更せずに使用している場合、脆弱性の影響を受け、認証なしにログインされ、ネットワーク設定やユーザ情報等を窃取されたり変更されるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」と評価されている。

パスワードを設定したり、UNIFASサーバと連携する「MSモード」で運用している場合は脆弱性の影響を受けない。

同社では取扱説明書などを参考にコマンドラインよりパスワードを設定し、リモートアクセス機能を無効化するよう呼びかけている。またリモートアクセスをやむを得ず利用する場合は、IPアドレスによる制御を行うよう求めた。

（Security NEXT - 2024/04/03 ）ツイート