2024年3月5日にCobham EXPLORER 710 ファームウェアの脆弱性情報が公開されました。
対応が必要か検討してください。
本脆弱性は深刻度が高いため、早めの確認をお勧めいたします。
Cobham EXPLORER 710 は衛星通信やインターネットアクセスに用いられる携帯用の衛星通信端末です。Cobham EXPLORER 710 には、次の複数の脆弱性が存在します。 CVE-2019-9529 当該製品の Web インターフェースはデフォルト状態において認証を必要としません。そのため、ローカルネットワーク内の攻撃者によって端末の Web ポータルにアクセスされ、設定を変更される可能性があります。 CVE-2019-9530 当該製品のドキュメントルートディレクトリにはアクセス制限がかかっていません。そのため、ローカルネットワーク内の攻撃者により任意のファイルにアクセスされる可能性があります。 CVE-2019-9531 当該製品の 5454/tcp ポートに対して認証なしで telnet 接続が可能であり、また telnet 接続の後、86 種類の Attention (AT) コマンドを実行することが可能です。そのため、遠隔の攻撃者により端末にアクセスされ、これらのコマンドを実行される可能性があります。 CVE-2019-9532 当該製品の Web インターフェースでは、ログインのためのパスワードが平文で送信されます。そのため、ローカルネットワーク内の攻撃者によりパスワード情報が窃取される可能性があります。 CVE-2019-9533 当該製品のファームウェア v1.08 およびそれ以前の全てのバージョンにおいて、同一の root パスワードが用いられています。攻撃者は該当する任意のバージョンのファームウェアを解析することにより、root パスワードを窃取することが可能です。 CVE-2019-9534 当該製品では、ファームウェアイメージの検証が行われません。また、ファームウェア中に残された開発用スクリプトにより、ファームウェアのカスタムイメージをアップロードし実行することが可能です。そのため、ローカルネットワーク内の攻撃者により、改ざんされたファームウェアをインストールされ、通信内容の改変や窃取、バックドアの設置やサービス運用妨害 (DoS) 攻撃等が行われる可能性があります。 なお CERT/CC によると、当該製品についてはこれらの脆弱性の他に、製品のシリアルナンバーがデフォルトの WiFi パスワードがとして設定されているため容易に総当り攻撃が可能であること、またセキュリティに関する重要な HTTP ヘッダがなく、クロスサイトスクリプティングやクリックジャッキング攻撃に対しても脆弱であるとのことです。 これらの脆弱性は 2014年に実施された IOActive’s findings に関する一連の調査として CERT/CC の研究者によって新たに発見されました。
製品：Cobham EXPLORER 710 ファームウェア
企業：Cobham plc
CVSS v2
CVSS v3

参考：CVSSの深刻度レベル

スコア	CVSS v2	CVSS v3
9.0～10.0	危険	緊急
7.0～8.9	危険	重要
4.0～6.9	警告	警告
0.1～3.9	注意	注意
0	注意	なし

JVN JVNDB-2019-010367
https://jvndb.jvn.jp/ja/contents/2019/JVNDB-2019-010367.html
JVN JVNVU#98031944
https://jvn.jp/vu/JVNVU98031944/
CVE CVE-2019-9529
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9529
CVE CVE-2019-9530
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9530
CVE CVE-2019-9531
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9531
CVE CVE-2019-9532
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9532
CVE CVE-2019-9533
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9533
CVE CVE-2019-9534
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9534
NVD CVE-2019-9529
https://nvd.nist.gov/vuln/detail/CVE-2019-9529
NVD CVE-2019-9530
https://nvd.nist.gov/vuln/detail/CVE-2019-9530
NVD CVE-2019-9531
https://nvd.nist.gov/vuln/detail/CVE-2019-9531
NVD CVE-2019-9532
https://nvd.nist.gov/vuln/detail/CVE-2019-9532
NVD CVE-2019-9533
https://nvd.nist.gov/vuln/detail/CVE-2019-9533
NVD CVE-2019-9534
https://nvd.nist.gov/vuln/detail/CVE-2019-9534
CERT-VN VU#719689
https://www.kb.cert.org/vuls/id/719689/
関連文書 A Wake-up Call for SATCOM Security
https://ioactive.com/pdfs/IOActive_SATCOM_Security_WhitePaper.pdf
関連文書 Clickjacking
https://www.owasp.org/index.php/Clickjacking
関連文書 Content Security Policy
https://www.owasp.org/index.php/Content_Security_Policy
CWE-306
https://cwe.mitre.org/data/definitions/306.html
CWE-Other
https://www.ipa.go.jp/security/vuln/scap/cwe.html
CWE-287
https://jvndb.jvn.jp/ja/cwe/CWE-287.html
CWE-319
https://cwe.mitre.org/data/definitions/319.html
CWE-798
https://cwe.mitre.org/data/definitions/798.html
CWE-494
https://cwe.mitre.org/data/definitions/494.html
登録日
2024/03/05 08:16:00
最終更新日
2024/03/05 08:16:00
もっと見る >>