公開日：2015/06/09 最終更新日：2015/06/09
JVNVU#92189302
Toshiba 4690 OS に情報漏えいの脆弱性
Toshiba 4690 Operating System には、情報漏えいの脆弱性が存在します。
- Toshiba 4690 Operating System version 6 (Release 3)
情報漏えい (CWE-200) - CVE-2014-4876
Toshiba 4690 Operating System には、情報漏えいの脆弱性が存在します。システムの 54138/tcp に対して細工された文字列が送信されると、環境変数を含む情報が送信元のクライアントに返されます。
開発者は、4690 OS のサポート機能の一部として情報漏えいが発生するのは仕様であるとして、次のように主張しています。
クライアントに返されるデータには、Toshiba 4690 OS の現在の状態に関する情報が含まれ、この情報は問題の特定のために利用されます。この情報は、4690 OS のシステム管理機能である 4690 システムの API や RMA (Remote Management Agent) から取得できる情報と基本的に同じであり、機微な情報 (PCI) は含まれていません。
遠隔の第三者に、機密情報を取得される可能性があります。
2015年6月9日現在、対策方法は不明です。
サービスを無効にする
開発者は次のワークアラウンドの適用を提案しています。詳しくはベンダ情報を参照してください。
The user should disable the ADXSITCF logical name to the string -q. This will disable the services that connect with the network to provide this information, however it will also disable RMA system management data collection as well as prevent the use of ADXSITQL by support teams for gathering information without dumping the machine.
| ベンダ | リンク |
| Toshiba Commerce Solutions | Toshiba Commerce Solutions Information for VU#924506 |
| Toshiba 4690 Operating System |
-
CERT/CC Vulnerability Note VU#924506
Toshiba 4690 OS contains an information disclosure vulnerability
2015.06.09における脆弱性分析結果(CVSS Base Metrics)
| 評価尺度 | 評価値 | 説明 | ||
|---|---|---|---|---|
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) | ネットワーク経由でリモートから攻撃可能 |
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) | 攻撃成立に必要な条件はない |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) | 認証は不要 |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) | 一部の情報が漏えいする |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) | 情報の正確さや完全さは損なわれない |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) | システムの使用は阻害されない |
Base Score:5.0
