公開日：2024/05/31　最終更新日：2024/05/31

JVNVU#93051062
シャープ製および東芝テック製の複合機（MFP）における複数の脆弱性

概要

シャープ製および東芝テック製の複合機（MFP）には、複数の脆弱性が存在します。

影響を受けるシステム

影響を受ける製品、モデル番号、バージョンなどの詳細については、各開発者が提供する情報を確認してください。

詳細情報

シャープ株式会社および東芝テック株式会社が提供する複数の複合機（MFP）には、次の複数の脆弱性が存在します。

  • スタックベースのバッファオーバーフロー（CWE-121）
    • CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H 基本値:9.0
    • CVE-2024-28038
  • 不適切なアクセス権限付加（CWE-732）
    • CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値:5.9
    • CVE-2024-28955
  • 重要な情報の平文保存（CWE-312）
    • CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値:5.9
    • CVE-2024-29146
  • パスワードの平文保存（CWE-256）
    • CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値:5.9
    • CVE-2024-29978
  • 復元可能な形式でのパスワード保存（CWE-257）
    • CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値:5.9
    • CVE-2024-32151
  • パストラバーサル（CWE-22）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値:7.5
    • CVE-2024-33605
  • アクセス制限不備（CWE-284）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値:9.1
    • CVE-2024-33610
  • アクセス制限不備（CWE-284）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値:5.3
    • CVE-2024-33616
  • ネゴシエーション中の安全性の低いアルゴリズムの選択（CWE-767）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値:5.3
    • CVE-2024-34162
  • ハードコードされた認証情報の使用（CWE-798）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値:9.1
    • CVE-2024-35244
  • ハードコードされた認証情報の使用（CWE-798）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値:9.1
    • CVE-2024-36248
  • クロスサイトスクリプティング（CWE-79）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N 基本値:7.4
    • CVE-2024-36249
  • 境界外読み取り（CWE-125）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値:7.5
    • CVE-2024-36251
  • 境界外読み取り（CWE-125）
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値:7.5
    • CVE-2024-36254

想定される影響

想定される影響は各脆弱性によって異なりますが、次のような可能性があります。

  • 複合機の管理ページに対し細工されたリクエストを送信することで、複合機がサービス運用妨害（DoS）状態となる
  • 複合機内のファイルが閲覧可能となり、プログラム中の情報を参照される
  • 複合機の一部の情報に対し意図しない権限でアクセスが可能となる
  • 複合機の管理ページにおいて、任意のスクリプトが実行される
  • 複合機ファームウェア上で任意のコードが実行される
詳しくは、各開発者が提供する情報を確認してください。

対策方法

アップデートする
各製品開発者が提供する情報をもとに、ファームウェアをアップデートしてください。

ワークアラウンドを実施する
次の軽減策を適用することで、本脆弱性の影響を軽減することが可能です。

  • 複合機をインターネットに直接接続せず、ファイアウォールやルーター等で保護されたネットワーク内で使用する
  • パスワードを設定することで、複合機のWebページへのアクセスを制限する（*1）
  • 複合機の管理者パスワードを工場出荷時の初期値から変更し、適切に管理する
（*1）日本市場向け製品においては、この機能は工場出荷値で有効と設定されているが、日本市場向け以外の製品では無効と設定されている

対策方法の詳細については、［ベンダ情報］に掲載の各製品開発者が提供している情報を参照してください。
 

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
シャープ株式会社 該当製品あり 2024/05/31 シャープ株式会社 の告知ページ
東芝テック株式会社 該当製品あり 2024/05/31 東芝テック株式会社 の告知ページ

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

次の脆弱性に関しては、Pierre Barre氏がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行い公表に至りました。
CVE-2024-28038、CVE-2024-28955、CVE-2024-29146、CVE-2024-29978、CVE-2024-32151、CVE-2024-33605、CVE-2024-33610、CVE-2024-33616、CVE-2024-34162、CVE-2024-35244、CVE-2024-36248、CVE-2024-36251、CVE-2024-36254

次の脆弱性に関しては、開発者が複数の発見者から直接報告を受け調整し、製品利用者への周知を目的に開発者がJPCERT/CCに報告し、公表に至りました。
CVE-2024-33610、CVE-2024-36249、CVE-2024-36251、CVE-2024-36254

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2024-28038
CVE-2024-28955
CVE-2024-29146
CVE-2024-29978
CVE-2024-32151
CVE-2024-33605
CVE-2024-33610
CVE-2024-33616
CVE-2024-34162
CVE-2024-35244
CVE-2024-36248
CVE-2024-36249
CVE-2024-36251
CVE-2024-36254
JVN iPedia