JVN#96561229
FUJITSU Network IPCOM の運用管理インタフェースにおける複数の脆弱性
緊急

富士通株式会社が提供する FUJITSU Network IPCOM の運用管理インタフェースには、複数の脆弱性が存在します。

• IPCOM EX2シリーズ
• IPCOM EXシリーズ
• IPCOM VE2シリーズ
• IPCOM VA2/VE1シリーズ

富士通株式会社が提供する FUJITSU Network IPCOM は統合ネットワークアプライアンスです。
FUJITSU Network IPCOM の操作時に使用する運用管理インタフェースには、次の複数の脆弱性が存在します。

• Web コンソールにおける OS コマンドインジェクション (CWE-78) - CVE-2022-29516

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 9.8
  CVSS v2	AV:N/AC:L/Au:N/C:C/I:C/A:C	基本値: 10.0

• コマンドラインインタフェースにおけるバッファオーバーフロー (CWE-120) - CVE-2020-10188
  当該製品では、既知の脆弱性を含む netkit-telnet が使用されています。

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 9.8
  CVSS v2	AV:N/AC:L/Au:N/C:C/I:C/A:C	基本値: 10.0

遠隔の第三者によって次のような影響を受ける可能性があります。

• 任意の OS コマンドを実行される
• 機微な情報を窃取されたり、改ざんされたりする
• サービス運用妨害 (DoS) 攻撃を受ける

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• IPCOM EX2シリーズ(V01L0x系) V01L05 NF0501
• IPCOM EX2シリーズ(V01L20系) V01L20 NF0301
• IPCOM EX2シリーズ(V02L21系) V02L21 NF0201
• IPCOM EXシリーズ(E20系) E20L33 NF1101
• IPCOM EXシリーズ(E30系) E30L11 NF0501
• IPCOM VE2シリーズ V01L05 NF0303
• IPCOM VA2/VE1シリーズ E20L33 NF0902

• 運用管理端末を配置する専用のネットワークを用意し、運用管理インタフェースへのアクセスをこのネットワークからのみに制限する
• 個々の運用管理端末に対してアクセス許可を設定する