公開日：2008/07/22　最終更新日：2009/05/28

JVN#67573833
複数のセンチュリー・システムズ株式会社製ルータにおけるクロスサイトリクエストフォージェリの脆弱性

概要

センチュリー・システムズ株式会社が提供する複数のルータ製品のウェブ管理画面には、クロスサイトリクエストフォージェリの脆弱性が存在します。

影響を受けるシステム

  • R-410 ver1.6.8 およびそれ以前
  • R-440 ver1.7.7 およびそれ以前
  • R-510 ver3.5.0 およびそれ以前
  • R-540 ver3.5.2 およびそれ以前
  • R-640 ver1.6.7 およびそれ以前
  • R-730 ver3.5.0 およびそれ以前
  • R-1100 ver1.6.2 およびそれ以前
  • R-410-L2 ver1.6.1 およびそれ以前
  • R-640-L2 ver1.6.1 およびそれ以前

    • 詳しくはベンダが提供する情報をご確認ください。

詳細情報

センチュリー・システムズ株式会社が提供する複数のルータ製品には、ウェブブラウザから各機能を設定できるウェブ管理画面があります。
このウェブ管理画面には、クロスサイトリクエストフォージェリの脆弱性が存在します。

想定される影響

当該製品の管理者が、ウェブ管理画面にログインした状態で悪意あるページを読み込んだ場合、パスワードなどの設定が変更される可能性があります。

対策方法

アップデートする
XR-410 および XR-510 をお使いの場合：
ファームウェアを以下の最新バージョンへアップデートしてください。

  • XR-410 ver1.6.9
  • XR-510 ver3.5.3
    上記以外の XR シリーズをお使いの場合：
    2008年07月22日時点で、最新版のファームウェアは提供されていませんが、ベンダによると近日中に順次公開予定であると報告されています。

    詳しくはベンダが提供する情報をご確認ください。

    • ベンダ情報

    ベンダ ステータス ステータス
    最終更新日    		 ベンダの告知ページ
    センチュリー・システムズ 該当製品あり 2008/07/22

    参考情報

    JPCERT/CCからの補足情報

    JPCERT/CCによる脆弱性分析結果

    2008.07.22における脆弱性分析結果

    評価尺度 攻撃成立条件 評価値
    攻撃経路 インターネット経由からの攻撃が可能
    • 高
    認証レベル 匿名もしくは認証なしで攻撃が可能
    • 高
    攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
    • 中
    攻撃の難易度 専門知識や運がなくとも攻撃可能
    • 高

    各項目の詳しい説明

    謝辞

    本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCがベンダとの調整を行いました。
    報告者： 片桐　弘敬 氏

    関連文書

    JPCERT 緊急報告
    JPCERT REPORT
    CERT Advisory
    CPNI Advisory
    TRnotes
    CVE CVE-2008-6449
    JVN iPedia JVNDB-2008-000042

    更新履歴

    2008/08/12
    影響を受けるシステム：誤植を修正しました。
    2009/05/28
    関連文書に CVE を追加しました。