セキュリティ

SECURITY

公開：2024-09-26

【CVE-2024-45372】プラネックス製ネットワーク機器に複数の脆弱性、早急な対応が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• プラネックス製ネットワーク機器に脆弱性
• ルーターとネットワークカメラが対象
• クロスサイトリクエストフォージェリなどの脆弱性

プラネックス製ネットワーク機器の複数の脆弱性が発見

プラネックスコミュニケーションズ株式会社は2024年9月24日、同社が提供するルーターおよびネットワークカメラに複数の脆弱性が存在することを公開した。影響を受ける製品にはMZK-DP300Nルーターのファームウェアバージョン1.04以前、およびCS-QRシリーズのネットワークカメラの全てのファームウェアバージョンが含まれる。これらの脆弱性は早急な対応が必要となっている。^[1]

発見された脆弱性には、クロスサイトリクエストフォージェリ（CVSS基本値7.1）とウェブ管理画面におけるクロスサイトスクリプティング（CVSS基本値6.1）が含まれる。これらの脆弱性を悪用されると、ユーザーが細工されたページにアクセスした際にパスワード等の設定を変更させられたり、ユーザーのウェブブラウザ上で任意のスクリプトを実行されたりする可能性がある。

対策として、MZK-DP300Nルーターユーザーには最新のファームウェアへのアップデートが推奨されている。一方、CS-QRシリーズのネットワークカメラについては、ウェブ設定画面の使用を避けるか、製品の使用を停止して代替製品への移行が推奨されている。プラネックスコミュニケーションズ株式会社は、これらの脆弱性に関する詳細情報を公式サイトで公開している。

プラネックス製ネットワーク機器の脆弱性まとめ

クロスサイトリクエストフォージェリについて

クロスサイトリクエストフォージェリ（CSRF）とは、Webアプリケーションの脆弱性の一種であり、攻撃者が正規ユーザーに成りすまして不正な操作を行うことを可能にする攻撃手法である。主な特徴として以下のような点が挙げられる。

• ユーザーの意図しない操作を実行させる
• 正規のセッションを悪用する
• ユーザーの権限で不正な操作を行う

プラネックス製ネットワーク機器で発見されたCSRF脆弱性（CVE-2024-45372）は、CVSS基本値7.1と高い深刻度を持つ。この脆弱性を悪用されると、ユーザーが細工されたウェブページにアクセスした際に、攻撃者によって意図しないパスワード変更などの操作が行われる可能性がある。ネットワーク機器のセキュリティ維持のため、ユーザーは最新のファームウェアへのアップデートを行うことが強く推奨される。

プラネックス製ネットワーク機器の脆弱性に関する考察

プラネックス製ネットワーク機器の脆弱性発見は、IoT機器のセキュリティ対策の重要性を再認識させる出来事である。特にCSRFやXSSといった広く知られた脆弱性が存在していたことは、製品開発時のセキュリティ設計や検証プロセスに改善の余地があることを示唆している。今後、プラネックスに限らず、IoT機器メーカー全体でセキュリティ対策の強化が求められるだろう。

一方で、この事例は脆弱性情報の適切な公開と対応の重要性も浮き彫りにしている。プラネックスが迅速に情報を公開し、対策方法を提示したことは評価できる点だ。しかし、CS-QRシリーズに関しては根本的な解決策が提示されておらず、ユーザーにとっては製品の使用停止という厳しい選択を迫られている。今後、脆弱性が発見された際の具体的かつ実行可能な対応策の提供が課題となるだろう。

今回の事例を踏まえ、IoT機器メーカーには開発段階からのセキュリティ・バイ・デザインの採用と、継続的なセキュリティアップデートの提供が求められる。また、ユーザー側も定期的なファームウェアの更新やセキュリティ設定の見直しなど、自己防衛の意識を高める必要がある。IoT機器のセキュリティは、メーカーとユーザーの協力なくしては成り立たない。両者の意識向上と具体的な行動が、今後のIoTセキュリティの鍵を握るだろう。

参考サイト

1. ^ JVN. 「JVN#81966868: プラネックス製ネットワーク機器における複数の脆弱性」. https://jvn.jp/jp/JVN81966868/index.html, (参照 24-09-26).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧