JVNVU#97413676
Dedicated Micros のデジタルビデオレコーダが、平文で通信し、パスワード認証をしていない問題

Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定では、暗号化されていない平文で通信し、また、パスワードによるユーザ認証を行いません。

• DV-IP Express
• SD Advanced
• SD
• EcoSense
• DS2

センシティブなデータを暗号化しない (CWE-311)
Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定では、通信内容を暗号化しないプロトコルである HTTP、Telnet、FTP を用いており、よりセキュアなプロトコルを使用するよう設定するのはエンドユーザの責任としています。そのためデフォルト設定では、第三者によって通信が閲覧されたり改ざんされたりする可能性があります。

不適切なアクセス制御 (CWE-284) - CVE-2015-2909
Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定ではユーザ認証を要求しません。エンドユーザはデバイスにパスワードを設定することができますが、必須ではありません。デフォルト設定では、第三者によって自由にデバイスにアクセスされたりデータを改ざんされたりする可能性があります。

遠隔の攻撃者によって、センシティブなデータを閲覧されたり操作されたりする可能性があります。また、セキュアな設定を行っていないデバイスは完全に制御を奪われる可能性があります。

2015年8月21日現在、対策方法は不明です。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

• セキュアなプロトコルを使用する
  開発者は「ユーザが希望する場合、HTTPS や SSH を使用するよう設定したり、POST メソッドでのアップロードを HTTPS 経由にするよう設定したりすることが可能」としています。
  開発者が提供する情報をもとに、セキュアなプロトコルを使用するよう設定してください。
• パスワードによるユーザ認証を有効にする
  開発者は次のように述べています。

  デフォルト設定のシステムでは、HTTP、Telnet、FTP でユーザ認証を行っていません。デフォルトのユーザ名やパスワードを設定しておくことは安全ではないので、Dedicated Micros では、ユーザ自身がそれらを設定するようアドバイスしています。GUI 上には、ユーザ名とパスワードの設定を促す警告文が表示されます。

  個々のデバイスのドキュメントや開発者が提供する情報をもとに、ユーザ認証を有効にしてください。

• デフォルトでセキュアなプロトコルを使用する。または、外部との接続が設定されるときに、ユーザにセキュアなプロトコルを使用するよう促す。
• ユニークなデフォルトパスワードを設定する。MAC アドレスから決定されるようなものであってもかまわない。
• セットアップ作業のなかで、パスワードの変更をユーザに求める。