JVN#32505330
エクシングCPTrans-ME-Xにおける複数の脆弱性

株式会社エクシングが提供するCPTrans-ME-Xには、複数の脆弱性が存在します。

• エクシング CPTrans-ME-X ファームウェア Ver 1.8.1.17より前のバージョン

株式会社エクシングが提供するCPTrans-ME-Xには、次の複数の脆弱性が存在します。

• OSコマンドインジェクション（CWE-78）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2026-62928
  • 管理ポートからの入力内容の取り扱いに不備があり、細工された入力によって任意のOSコマンドが実行される可能性がある
• 認可されていない相手への機微なシステム情報の漏えい（CWE-497）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 8.7
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 7.5
  • CVE-2026-66840
  • 管理ポートからの入力内容の取り扱いに不備があり、細工された入力によってシステムに関する情報を取得される可能性がある
• デフォルトパスワードの使用（CWE-1393）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2026-69657
  • 初期設定においてWeb UIの認証情報としてデフォルト値が設定されている
• ハードコードされたパスワードの使用（CWE-259）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2026-70403
  • ファームウェアにハードコードされている認証情報で管理ポートにログイン可能

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 認証なしにOSコマンドインジェクションが行われる（CVE-2026-62928）
• 認証なしにシステムに関する情報が取得される（CVE-2026-66840）
• 当該認証情報を知っている第三者にログインされる（CVE-2026-69657、CVE-2026-70403）

アップデートする
本JVN公表時点において、本件への対応として以下のような更新を適用したファームウェアアップデートが提供されています。

• 初期設定において管理ポートは無効
• 当該機器にログインした際に使用できるコマンドは管理作業に必要な最低限のもののみに制限