公開日：2008/07/22 最終更新日：2009/05/28
JVN#67573833
複数のセンチュリー・システムズ株式会社製ルータにおけるクロスサイトリクエストフォージェリの脆弱性
センチュリー・システムズ株式会社が提供する複数のルータ製品のウェブ管理画面には、クロスサイトリクエストフォージェリの脆弱性が存在します。
- XR-410 ver1.6.8 およびそれ以前
- XR-440 ver1.7.7 およびそれ以前
- XR-510 ver3.5.0 およびそれ以前
- XR-540 ver3.5.2 およびそれ以前
- XR-640 ver1.6.7 およびそれ以前
- XR-730 ver3.5.0 およびそれ以前
- XR-1100 ver1.6.2 およびそれ以前
- XR-410-L2 ver1.6.1 およびそれ以前
- XR-640-L2 ver1.6.1 およびそれ以前
詳しくはベンダが提供する情報をご確認ください。
センチュリー・システムズ株式会社が提供する複数のルータ製品には、ウェブブラウザから各機能を設定できるウェブ管理画面があります。
このウェブ管理画面には、クロスサイトリクエストフォージェリの脆弱性が存在します。
当該製品の管理者が、ウェブ管理画面にログインした状態で悪意あるページを読み込んだ場合、パスワードなどの設定が変更される可能性があります。
アップデートする
XR-410 および XR-510 をお使いの場合：
ファームウェアを以下の最新バージョンへアップデートしてください。
上記以外の XR シリーズをお使いの場合：
2008年07月22日時点で、最新版のファームウェアは提供されていませんが、ベンダによると近日中に順次公開予定であると報告されています。
詳しくはベンダが提供する情報をご確認ください。
2008.07.22における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能。 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能。 |
|
| 攻撃成立に必要なユーザーの関与 | リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される。 |
|
| 攻撃の難易度 | 専門的知識や運がなくとも攻撃可能。 |
|
本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCがベンダとの調整を行いました。
報告者： 片桐 弘敬 氏
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE | CVE-2008-6449 |
| JVN iPedia | JVNDB-2008-000042 |
- 2008/08/12
- 影響を受けるシステム：誤植を修正しました。
- 2009/05/28
- 関連文書に CVE を追加しました。
