JVNVU#94598199
Silicon Labs製Z-Waveチップセットを利用するデバイスにおける複数の脆弱性

Silicon Labs社が提供するZ-Waveチップセットを利用するデバイスには、複数の脆弱性が存在します。

以下のチップセットを利用しているZ-waveデバイス
CVE-2020-9057

• Silicon Labs 100 series
• Silicon Labs 200 series
• Silicon Labs 300 series

• Silicon Labs 500 series

• Silicon Labs 700 series

Silicon Labs社が提供するZ-Waveチップセットを利用するデバイスには、次の複数の脆弱性が存在します。

• 重要なデータの暗号化の欠如 (CWE-311) - CVE-2020-9057、CVE-2020-9058
• リソースの枯渇 (CWE-400) - CVE-2020-9059、CVE-2020-9060
• 同一生成元ポリシー違反 (CWE-346) - CVE-2020-9060
• 不適切な認可処理 (CWE-285) - CVE-2020-9061
• データの真正性の検証が不十分 (CWE-345) - CVE-2020-10137

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 攻撃者によって暗号化されていない通信内容を読み取られ機密情報を窃取される。 - CVE-2020-9057、CVE-2020-9058
• 攻撃者によって予期しないリソース消費が行われ、バッテリーを消耗される。 - CVE-2020-9059
• 攻撃者によって不正な形式のSECURITY NONCE GET、SECURITY NONCE GET 2、NO OPERATION、NIF REQUESTを送信されることでサービス運用妨害（DoS）状態、リソース枯渇状態にされる。 - CVE-2020-9060
• 攻撃者によって不正な形式のルーティングメッセージを送信されることでサービス運用妨害（DoS）状態にされる。 - CVE-2020-9061
• 攻撃者による不正なFIND_NODE_IN_RANGEフレームによってサービス運用妨害（DoS）状態にされる。 - CVE-2020-10137

脆弱性に対する対策は各デバイスごとに異なるため、詳細は開発者にお問い合わせください。