【CVE-2024-10381】Matrix Door Controller Cosec Vega FAXQに認証バイパスの脆弱性、デバイスの完全な制御権限取得のリスクが発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Matrix Door Controller Cosec Vega FAXQの認証回避の脆弱性
Webベース管理インターフェースのセッション管理に問題
リモート攻撃者による完全な制御権限の取得が可能に

Matrix Door Controller Cosec Vega FAXQ V2R17未満の認証バイパス脆弱性

Indian Computer Emergency Response Team（CERT-In）は、Matrix Door Controller Cosec Vega FAXQにおいて深刻な認証バイパスの脆弱性【CVE-2024-10381】を2024年10月25日に公開した。Webベース管理インターフェースにおけるセッション管理の不適切な実装により、リモート攻撃者が特別に細工されたHTTPリクエストを送信することで認証を回避できる状態になっている。^[1]

CVSS 4.0のスコアリングでは9.3（Critical）と評価されており、攻撃者は認証なしでシステムにアクセス可能となる。この脆弱性を悪用されると攻撃者はターゲットデバイスへの完全なアクセス権限を取得できる可能性があるため、早急な対応が必要だ。

Matrix社はこの脆弱性に対するセキュリティアップデートをV2R17で提供している。脆弱性の影響を受けるのはV2R17未満のバージョンであり、システム管理者は直ちにアップデートを適用することが推奨される。攻撃の自動化が可能なこの脆弱性は、組織のセキュリティに重大な影響を及ぼす可能性がある。

Matrix Door Controllerの脆弱性情報まとめ

項目	詳細
CVE番号	CVE-2024-10381
深刻度	Critical（CVSS 4.0スコア：9.3）
影響を受けるバージョン	V2R17未満
脆弱性の種類	認証バイパス（CWE-288）
対象製品	Matrix Door Controller Cosec Vega FAXQ
修正バージョン	V2R17以降

脆弱性情報の詳細はこちら

認証バイパスについて

認証バイパスとは、システムの認証メカニズムを迂回して不正にアクセスを取得する脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

正規の認証プロセスを回避してアクセスを取得
セッション管理の不備や実装ミスが主な原因
システムの重要な機能への不正アクセスが可能

Matrix Door Controller Cosec Vega FAXQの脆弱性では、Webベース管理インターフェースのセッション管理における実装の不備が認証バイパスを可能にしている。攻撃者は特別に細工されたHTTPリクエストを送信することで認証を迂回し、デバイスの完全な制御権限を取得できる可能性があるため、早急な対応が必要だ。

Matrix Door Controller Cosec Vega FAXQの認証バイパス脆弱性に関する考察

Matrix Door Controller Cosec Vega FAXQの認証バイパス脆弱性は、物理アクセス制御システムのセキュリティに重大な影響を及ぼす可能性がある。特にこの製品は企業や施設のセキュリティに直結するため、認証システムの脆弱性は建物全体のセキュリティを危険にさらす可能性があるだろう。

今後はWebベース管理インターフェースにおける多要素認証の導入や、定期的なセキュリティ監査の実施が重要になってくる。さらにセッション管理の実装における厳格なコードレビューと、セキュリティテストの強化も必要不可欠だ。

また、IoTデバイスのセキュリティ強化に向けて、ファームウェアの自動更新機能や脆弱性スキャン機能の実装も検討する必要がある。Matrix社には今回の教訓を活かし、より強固なセキュリティ機能を備えた製品開発を期待したい。