公開日：2016/09/27　最終更新日：2016/10/11

JVN#39619137
FlashAir におけるアクセス制限不備の脆弱性

概要

株式会社東芝が提供する FlashAir には、インターネット同時接続機能を有効にした場合に、初期設定では STA 側 LAN から認証なしで接続可能な脆弱性が存在します。

影響を受けるシステム

  • FlashAir SD-WD/WC シリーズ Class 6 モデル ファームウェアバージョン 1.00.04 およびそれ以降
  • FlashAir SD-WD/WC シリーズ Class 10 モデル W-02 ファームウェアバージョン 2.00.02 およびそれ以降
  • FlashAir SD-WE シリーズ Class 10 モデル W-03

詳細情報

株式会社東芝が提供する FlashAir は、無線 LAN 接続機能を搭載した SDHC メモリカードです。FlashAir の初期設定では、インターネット同時接続機能を有効にした場合、STA 側 LAN (FlashAir が他のアクセスポイントに接続する側) から認証なしで接続可能な脆弱性が存在します。

想定される影響

当該製品が接続する STA 側 LAN にアクセス可能な第三者によって、当該製品に記録されているファイルやデータを取得される可能性があります。また、FlashAir Class 10 SD-WE シリーズ W-03 で認証に関する設定を追加せずに WebDAV によるアクセスとファイルアップロードを許可するよう設定している場合、当該製品に記録されているファイルやデータを改ざんされたり、任意の Lua スクリプトを実行されたりする可能性があります。

対策方法

認証設定を追加する
インターネット同時接続機能を有効にする前に、FlashAir のウェブサーバへの接続時に認証を要求するよう設定してください。FlashAir の API には、次の項目が用意されています。

  • HTTPDMODE -- 認証方法
  • HTTPDPASS -- Basic 認証のパスワード、Digest 認証のハッシュ値
詳しくは、開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
株式会社東芝 FlashAir Developers - ドキュメント - APIガイド - CONFIG

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
基本値: 5.0
CVSS v2 AV:A/AC:M/Au:N/C:P/I:P/A:P
基本値: 5.4

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: シーソフト 塚田将久 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2016-4863
JVN iPedia JVNDB-2016-000168

更新履歴

2016/10/11
概要、詳細情報、想定される影響を更新しました