公開日：2015/08/03　最終更新日：2015/08/03

JVNVU#91647568
Chiyu Technology の指紋認証入退室管理システムに複数の脆弱性

概要

Chiyu Technology の指紋認証入退室管理システムの複数のモデルには、クロスサイトスクリプティングおよび認証回避の脆弱性が存在します。

影響を受けるシステム

  • BF-660C
  • BF-630、BF-630W
他のモデルにも脆弱性が存在する可能性があります。

詳細情報

クロスサイトスクリプティング (CWE-80) - CVE-2015-2870
発見者の主張によると、デバイスに渡される URL に含まれる <script> タグが除去されないため、攻撃者による反射型クロスサイトスクリプティング攻撃が可能とのことです。

別のパスやチャンネルを介した認証回避 (CWE-288) - CVE-2015-2871
発見者の主張によると、既知のパスに直接アクセスすることで、攻撃者は、認証を経ずに、デバイスの設定の閲覧や変更が可能とのことです。また、パスはモデルや利用できるサービスによって異なるとのことです。

モデル BF-660C の場合
http://<host>/net.htm - Communication settings

モデル BF-630、BF-630W の場合
http://<host>/voice.htm - Voice Time Set
http://<host>/bf.htm - UniFinger Setup

発見者は BF-660C、BF-630、BF-630W に脆弱性があることを確認しているとのことですが、他のモデルにも脆弱性が存在する可能性があります。

なお、CERT/CC は、これらの情報について開発者の確認を得ていません。

想定される影響

遠隔の攻撃者によって、認証なしでデバイスの設定を閲覧されたり変更されたりする可能性があります。また、ユーザの認証情報を入手される可能性があります。

対策方法

2015年8月3日現在、対策方法は不明です。

ベンダ情報

参考情報

  1. CERT/CC Vulnerability Note VU#360431
    Chiyu Technology fingerprint access control contains multiple vulnerabilities

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2015.08.03における脆弱性分析結果(CVSS Base Metrics)

CVSSとは

評価尺度 評価値 説明
攻撃元区分(AV) ローカル (L) 隣接 (A) ネットワーク (N) ネットワーク経由でリモートから攻撃可能
攻撃条件の複雑さ(AC) 高 (H) 中 (M) 低 (L) 攻撃成立に必要な条件はない
攻撃前の認証要否(Au) 複数 (M) 単一 (S) 不要 (N) 認証は不要
機密性への影響(C) なし (N) 部分的 (P) 全面的 (C) 一部の情報が漏えいする
完全性への影響(I) なし (N) 部分的 (P) 全面的 (C) 情報の正確さや完全さが部分的に損なわれる
可用性への影響(A) なし (N) 部分的 (P) 全面的 (C) システムの使用が部分的に阻害される

Base Score:7.5

分析結果のコメント

この CVSS は CVE-2015-2871 を評価したものです。

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2015-2870
CVE-2015-2871
JVN iPedia