JVNVU#95714039
Sierra Wireless製AirLinkにおける複数の脆弱性

Sierra Wirelessが提供するAirLinkには、複数の脆弱性が存在します。

• AirLink ALEOS 4.9.9より前のバージョン
• AirLink ALEOS 4.17.0.12より前のバージョン

Sierra Wirelessが提供するAirLinkには、次の複数の脆弱性が存在します。

• 無限ループ (CWE-835) - CVE-2023-40458
• NULLポインタ参照 (CWE-476) - CVE-2023-40459
• クロスサイトスクリプティング (CWE-79) - CVE-2023-40460、CVE-2023-40461
• 意図的に発生可能なアサーション違反 (CWE-617) - CVE-2023-40462
• ハードコードされた認証情報の使用 (CWE-798) - CVE-2023-40463
• ハードコードされた暗号鍵の使用 (CWE-321) - CVE-2023-40464
• 脆弱なサードパーティコンポーネントへの依存 (CWE-1395) - CVE-2023-40465

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• ACEManagerをサービス運用妨害（DoS）状態にされる - CVE-2023-40458、CVE-2023-40459、CVE-2023-40462
• ユーザによってACEManagerでスクリプトを実行され、当該製品の機能を変更される - CVE-2023-40460
• 管理者権限を持つユーザがファイルアップロードフィールドにアクセスすると、任意のスクリプトが実行される - CVE-2023-40461
• 当該製品をデバッグモードに設定した場合、当バージョン共通のrootパスワードのSHA512ハッシュが、root権限または同等のアクセス権を持つユーザがアクセス可能なディレクトリに保存される - CVE-2023-40463
• ハードコードされたSSL証明書と秘密鍵を使用され、ACEManagerのサーバとクライアント間で中間者攻撃を実行される - CVE-2023-40464
• Captive portalをサービス運用妨害（DoS）状態にされる - CVE-2023-40465

アップデートする
開発者は、アップデートを提供しています。

ワークアラウンドを実施する
開発者は、アップデートが適用できない場合、ワークアラウンドの適用を推奨しています。

詳細は、開発者が提供する情報をご確認ください。