JVN#51464799: L2Blockerセンサー設定画面における認証回避の脆弱性

L2Blockerセンサーの設定画面には、ログイン時の認証回避の脆弱性が存在します。

開発者によると、すでにサポート終了をした3系以前のバージョンも本脆弱性の影響を受けるとのことです。

株式会社ソフトクリエイトが提供する L2Blocker には、センサーに対して代替パスまたはチャネルを利用することでログイン時の認証回避が可能となる脆弱性 (CWE-288) が存在します。

当該機器にアクセスできる第三者によって不正にログインされ、機器内の情報が窃取されたり、機能不全に陥ったりする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は、以下のバージョンで修正されています。

開発者によると、L2Blockerクラウド版は開発者により既にアップデートが実施されており、L2Blockerクラウド版利用者による操作は不要とのことです。

ベンダ	リンク
株式会社ソフトクリエイト	L2Blockerセンサー設定画面における、認証回避の脆弱性

CVSS v3 CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

基本値: 5.4

CVSS v2 AV:A/AC:L/Au:N/C:P/I:P/A:N

基本値: 4.8

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社サイバーディフェンス研究所

JVN#51464799 L2Blockerセンサー設定画面における認証回避の脆弱性