JVNVU#94497038
フルノシステムズ製無線LANアクセスポイント（STモード利用時）における複数の脆弱性

株式会社フルノシステムズが提供する無線LANアクセスポイント製品（STモード利用時）には、複数の脆弱性が存在します。

CVE-2023-39222、CVE-2023-39429、CVE-2023-41086

• ACERA 1210 ver.02.36およびそれ以前のファームウェアバージョン
• ACERA 1150i ver.01.35およびそれ以前のファームウェアバージョン
• ACERA 1150w ver.01.35およびそれ以前のファームウェアバージョン
• ACERA 1110 ver.01.76およびそれ以前のファームウェアバージョン
• ACERA 1020 ver.01.86およびそれ以前のファームウェアバージョン
• ACERA 1010 ver.01.86およびそれ以前のファームウェアバージョン
• ACERA 950 ver.01.60およびそれ以前のファームウェアバージョン
• ACERA 850F ver.01.60およびそれ以前のファームウェアバージョン
• ACERA 900 ver.02.54およびそれ以前のファームウェアバージョン
• ACERA 850M ver.02.06およびそれ以前のファームウェアバージョン
• ACERA 810 ver.03.74およびそれ以前のファームウェアバージョン
• ACERA 800ST ver.07.35およびそれ以前のファームウェアバージョン

• ACERA 1320 ver.01.26およびそれ以前のファームウェアバージョン
• ACERA 1310 ver.01.26およびそれ以前のファームウェアバージョン

株式会社フルノシステムズが提供する無線LANアクセスポイント製品（STモード利用時）には、次の複数の脆弱性が存在します。

• OSコマンドインジェクション (CWE-78) - CVE-2023-39222

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

  基本値: 6.8

• クロスサイトスクリプティング (CWE-79) - CVE-2023-39429

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

  基本値: 7.6

• クロスサイトリクエストフォージェリ (CWE-352) - CVE-2023-41086

  CVSS v3

  CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.5

• 認証回避 (CWE-288) - CVE-2023-42771

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

  基本値: 8.3

• パストラバーサル (CWE-22) - CVE-2023-43627

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

  基本値: 6.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログインしたユーザにより、細工されたリクエストを送られた場合、ウェブインターフェースから実行することが想定されていない任意のOSコマンドを実行される - CVE-2023-39222
• 当該製品のユーザが細工した設定を行った場合、当該製品にログインした他ユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2023-39429
• 当該製品にログインした状態のユーザが、外部の細工されたページにアクセスした場合、当該製品に対して意図しない操作をさせられる - CVE-2023-41086
• 当該製品にアクセス可能な第三者によって、設定ファイルやログファイルをダウンロードされたり、設定ファイルやファームウェアをアップロードされる - CVE-2023-42771
• 当該製品にログインしたユーザにより、細工されたリクエストを送られた場合、システムファイルなどの重要情報が改ざんされる - CVE-2023-43627

アップデートする
開発者が提供する情報をもとに、ファームウェアをアップデートしてください。

製品の使用を停止する
開発者によると、本件の影響を受ける製品群の一部は、すでにサポートが終了しているとのことです。
(参考: 機種別販売、保守期間一覧)
これらサポートを終了した製品については、製品の使用停止が推奨されています。

開発者は回避策に関する情報も提供しています。詳細については開発者が提供する情報をご確認ください。