公開日：2023/11/15 最終更新日：2023/11/15
JVNVU#96079387
ASUSTeK COMPUTER製RT-AC87Uにおける不適切なアクセス制御の脆弱性
ASUSTeK COMPUTER INC.が提供するRT-AC87Uには、不適切なアクセス制御の脆弱性が存在します。
- RT-AC87U すべてのバージョン
ASUSTeK COMPUTER INC.が提供するRT-AC87Uには、不適切なアクセス制御の脆弱性（CWE-284）が存在します。
第三者が、本来アクセスを想定していないファイルの読み書きをする可能性があります。
当該製品の使用を停止する、後継製品に移行する
開発者によると、当該製品は2021年5月にサポートを終了しているため、更新ファームウェアは提供されないとのことです。
該当製品の使用停止および後継製品への移行が推奨されています。
ワークアラウンドを実施する
開発者は、当該デバイスを停止するまでの間はTFTPサーバを停止することを推奨しています。
WebUIからSSHを有効化し、SSH接続して「killall tftpd」を実行してください。
詳しくは、開発者にお問い合わせください。
| ベンダ | リンク |
| ASUSTeK COMPUTER INC. | サポート 公式 |
| End-of-life product list |
CVSS v3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
基本値:
6.5
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
分析結果のコメント
当該デバイスにtftp経由で接続されることを想定しています。
この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ゼロゼロワン 早川 宙也 氏
