JVN#45473612
CentreCOM AR260S V2 における複数の脆弱性

アライドテレシス株式会社が提供する CentreCOM AR260S V2 には、複数の脆弱性が存在します。

• CentreCOM AR260S V2 ファームウェアバージョン Ver.3.3.7 より前のバージョン

アライドテレシス株式会社が提供する CentreCOM AR260S V2 には、次の複数の脆弱性が存在します。

• GUI 設定画面における OS コマンドインジェクション (CWE-78) - CVE-2022-35273

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	基本値: 8.8
  CVSS v2	AV:N/AC:L/Au:S/C:C/I:C/A:C	基本値: 9.0

• telnet 接続用の認証情報がハードコードされている問題 (CWE-798) - CVE-2022-38394

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 8.1
  CVSS v2	AV:N/AC:M/Au:N/C:C/I:C/A:C	基本値: 9.3

• telnet 機能から実行できるドキュメントに記載されていない隠しコマンドが存在する問題 (CWE-912) - CVE-2022-34869

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H	基本値: 7.5
  CVSS v2	AV:N/AC:H/Au:S/C:C/I:C/A:C	基本値: 7.1

• telnet 機能における OS コマンドインジェクション (CWE-78) - CVE-2022-38094

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H	基本値: 7.5
  CVSS v2	AV:N/AC:H/Au:S/C:C/I:C/A:C	基本値: 7.1

遠隔の第三者によって、任意の OS コマンドを実行される可能性があります。

アップデートし、パスワードを変更する
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
アップデート後はゲストアカウントを含むすべてのアカウントのパスワードを変更してください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• ファイアウォール機能を有効化し、アクセスを制限する
• ゲストアカウントを含むすべてのアカウントのパスワードを変更する