サポート終了した「Bitdefender BOX v1」のアップデート機能に脆弱性

Bitdefenderが提供するセキュリティデバイス「Bitdefender BOX v1」に脆弱性が明らかとなった。

「同1.3.11.505」から「同1.3.11.490」までのバージョンでは、デバイス上のプログラムや検出ルールの更新時に通信で安全でない「HTTPプロトコル」を使用する脆弱性「CVE-2024-13872」が明らかとなったもの。

隣接するネットワーク内の攻撃者は、リモートからAPIを呼び出して更新を実行させ、さらに「中間者攻撃（MITM）」によって悪意のあるレスポンスを返し、更新プロセスで不正なデータが取得されるとリモートよりコードの実行が可能となる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.4」、重要度は「クリティカル（Critical）」とレーティングされている。

「Bitdefender BOX v1」はすでにサポートが終了しており、アップデートなどのアナウンスは行われていない。

（Security NEXT - 2025/03/14 ）ツイート