JVNVU#93330893
NCR SelfServ ATM における複数の脆弱性

NCR が提供する SelfServ ATM には、複数の脆弱性が存在します。

APTRA XFS 05.01.00 およびそれ以前のバージョンが動作している NCR SelfServ ATM

NCR が提供する SelfServ ATM には、次の複数の脆弱性が存在します。

• バッファオーバーフロー - CVE-2020-9063
  当該機器とホストコンピュータ間の USB HID 通信に認証機構が存在せず、完全性の保護機構も欠如しているため、攻撃者により不正なデータを送信され、ホストコンピュータ上でバッファオーバーフローが発生する可能性があります。
• セッション鍵生成要求の検証不備 - CVE-2020-10123
  ホストコンピュータからのセッション鍵生成要求の検証処理に不備があり、攻撃者により不正なセッション鍵が生成される可能性があります。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該機器に物理的にアクセス可能な攻撃者により、ホストコンピュータ上で任意のコードが実行される - CVE-2020-9063
• 当該機器に物理的にアクセス可能な攻撃者により、不正に現金が引き出される - CVE-2020-10123

製品の刷新または使用停止を検討する
APTRA XFS 05.01 は 2015年にサポートが終了しています。古いバージョンが動作する機器を使用している場合、当該機器の刷新を検討してください。

ファームウェアをアップデートする
NCR から APTRA XFS Dispenser Security Update 01.00.00 が提供されています。
このアップデートには、脆弱性を修正した以下のファームウェアが含まれてます。

• USBCurrencyDispenser 04.01.01, firmware 0x0167 (for S1 dispensers)
• USBMediaDispenser 03.04.00, firmware 0x0118 (for S2 dispensers)

• Dispenser Protection Level: Level 3 (Physical Protection) for S1 and S2 dispensers
• Dispenser Authentication Sequence: Sequence 2 or higher (for S1 dispensers), or Sequence 1 or higher (for S2 dispensers)