JVNVU#92833570
Seagate および LaCie ワイヤレスストレージ製品に複数の脆弱性
Seagate が提供するワイヤレスストレージ製品には、複数の脆弱性が存在します。
ファームウェアバージョン 2.2.0.005 および 2.3.0.014 (2014年10月リリース) を使用する次のデバイスが本脆弱性の影響を受けます。
- Seagate Wireless Plus Mobile Storage
- Seagate Wireless Mobile Storage
- LaCie FUEL
認証情報 (パスワード) がハードコードされている問題 (CWE-798) - CVE-2015-2874
マニュアルに記載のない telnet サービスが立ち上がっており、ユーザ名 "root"、デフォルトのパスワードを使用してアクセス可能です。
リクエストの直接送信 (Forced Browsing) (CWE-425) - CVE-2015-2875
デフォルト設定で、機器に無線でアクセスした際に、誰でもファイルをダウンロードすることが可能です。ファイルシステム上の任意のファイルを直接ダウンロードできます。
危険なタイプのファイルの無制限アップロード (CWE-434) - CVE-2015-2876
デフォルト設定で、機器に無線でアクセスした際に、/media/sda2 ファイルシステムにファイルをアップロードすることが可能です。このファイルシステムはファイル共有のために用意されているものです。
遠隔の攻撃者によって、当該製品上の任意のファイルにアクセスされたり、root 権限で操作されたりする可能性があります。
アップデートする
開発者が提供する情報をもとに、ファームウェアをアップデートしてください。
開発者は、本脆弱性の対策版としてファームウェアバージョン 3.4.1.105 をリリースしています。
ベンダ | リンク |
Seagate Technology LLC | Firmware Updates for Seagate Products |
-
CERT/CC Vulnerability Note VU#903500
Seagate wireless hard-drives contain multiple vulnerabilities
2015.09.02における脆弱性分析結果(CVSS Base Metrics)
評価尺度 | 評価値 | 説明 | ||
---|---|---|---|---|
攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) | ネットワーク経由でリモートから攻撃可能 |
攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) | 攻撃成立に必要な条件はない |
攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) | 単一の認証が必要 |
機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) | 全ての情報が漏えいする |
完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) | 情報の正確さや完全さが全面的に損なわれる |
可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) | システムの使用が全面的に阻害される |
Base Score:9.0
JPCERT 緊急報告 |
|
JPCERT REPORT |
|
CERT Advisory |
|
CPNI Advisory |
|
TRnotes |
|
CVE |
CVE-2015-2874 |
CVE-2015-2875 |
|
CVE-2015-2876 |
|
JVN iPedia |
- 2015/09/03
- CERT/CC Vulnerability Note VU#903500 にあわせて更新しました。
- 2015/09/09
- CERT/CC Vulnerability Note VU#903500 にあわせて更新しました。