公開日:2021/10/08 最終更新日:2021/10/14

JVNVU#94119363
InHand Networks製ルーターIR615に複数の脆弱性

概要

InHand Networksが提供するIR615には、複数の脆弱性が存在します。

影響を受けるシステム

  • IR615 バージョン 2.3.0.r4724 および 2.3.0.r4870

詳細情報

InHand Networksが提供する産業用ルーターIR615には、次の複数の脆弱性が存在します。

  • レンダリングされたユーザインターフェースレイヤまたはフレームの不適切な制限(CWE-1021) - CVE-2021-38472
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N 基本値: 4.7
  • 不適切な認可(CWE-285) - CVE-2021-38486
    CVSS v3 CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H 基本値: 8.0
  • クロスサイトリクエストフォージェリ(CWE-352) - CVE-2021-38480
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H 基本値: 9.6
  • 不適切な暗号強度(CWE-326) - CVE-2021-38464
    CVSS v3 CVSS:3.1/AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N 基本値: 6.4
  • 過度な認証試行の不適切な制限(CWE-307) - CVE-2021-38474
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L 基本値: 6.3
  • 危険なタイプのファイルの無制限アップロード(CWE-434) - CVE-2021-38484
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H 基本値: 9.1
  • 反射型クロスサイトスクリプティング(CWE-79) - CVE-2021-38466
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:L 基本値: 8.8
  • OSコマンドインジェクション(CWE-78) - CVE-2021-38470、CVE-2021-38478
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H 基本値: 9.1
  • 格納型クロスサイトスクリプティング(CWE-79) - CVE-2021-38482、CVE-2021-38468
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H 基本値: 8.7
  • リクエストに対するレスポンス内容の違いに起因する情報漏えい(CWE-204) - CVE-2021-38476
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 基本値: 6.5
  • 脆弱なパスワード要件(CWE-521) - CVE-2021-38462
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、管理ポータルを構成するリンクを送信され、管理者に意図せずに当該製品の設定を変更させる - CVE-2021-38472
  • 遠隔のユーザによって、当該製品を乗っ取られ、内部ネットワーク内で任意のコードを実行される - CVE-2021-38486
  • 遠隔の第三者によって、当該製品の管理ポータルを操作され、設定を変更されたり、管理者の認証情報を変更されたり、システムのコマンドを実行されたりする - CVE-2021-38480
  • 第三者によって、通信の傍受され、機微な情報を窃取されたり、セッションを乗っ取られたりする - CVE-2021-38464
  • 遠隔のユーザによって、ブルートフォース攻撃を受け、ログインパスワードを窃取される - CVE-2021-38474
  • 管理者権限を持つ遠隔の攻撃者によって、不正なファイルをアップロードされ、クロスサイトスクリプティングをされたり、システムファイルを削除されたり、任意のコードを実行されたりする - CVE-2021-38484
  • 遠隔の第三者によって、当該製品にアクセスするWebブラウザ上で任意のスクリプトを実行される - CVE-2021-38466
  • 管理者権限を持つ遠隔の攻撃者によって、当該製品上で任意のコードを実行される - CVE-2021-38470、CVE-2021-38478
  • 管理者権限を持つ遠隔の攻撃者によって、システムに接続するユーザのセッションを乗っ取られる - CVE-2021-38482、CVE-2021-38468
  • 遠隔の第三者によって、ユーザアカウントを窃取される - CVE-2021-38476
  • 遠隔の第三者によって、ユーザの認証情報を窃取され、他のアプリケーションのユーザに成りすまされる - CVE-2021-38462

対策方法

2021年10月8日現在、対策方法はありません。
本件脆弱性の対策方法について、CISAはInHand Networksから回答を得られていないとのことです。
当該製品のユーザはInHand Networks customer supportに問い合わせてください。

ベンダ情報

ベンダ リンク
InHand Networks InHand Networks Contact Us

参考情報

  1. ICS Advisory (ICSA-21-280-05)
    InHand Networks IR615 Router

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2021/10/14
[概要] の誤記を修正しました