2022 年 6 月 15 日をもちまして、本ウェブサイトは Internet Explorer のサポートを終了いたします。
他のブラウザーをご利用いただき、当社ウェブサイトでの最適な閲覧体験をお楽しみください。
ログイン
ホーム 製品サポート セキュリティアドバイザリ TAP-323、WAC-1001、WAC-2004シリーズ無線AP/ブリッジ/クライアントの脆弱性

製品サポート

セキュリティアドバイザリ

登録してください

パスワードをお忘れですか？
ログイン
次回から自動的にログイン
メンバーではありませんか？ 今すぐ登録する
概要

TAP-323、WAC-1001、WAC-2004シリーズ無線AP/ブリッジ/クライアントの脆弱性

  • アドバイザリーID: MPSA-210901
  • バージョン: V1.0
  • 公開日: 2021年9月1日
  • 参考:

MoxaのTAP-323シリーズとWAC-1001/2004シリーズの鉄道無線コントローラに、複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 メモリバッファ境界内の操作の不適切な制限
CVE-2016-2148		 ヒープベースのバッファオーバーフローにより、DHCPクライアントにおいてリモート攻撃を受ける可能性があります。
2 不適切な入力検証
CVE-2016-7406		 リモートの攻撃者がDropbear SSH機能で任意のコードを実行できるようになっています。
3 バッファオーバーフロー、整数オーバーフローなどを含む複数の脆弱性。
CVE-2012-4412、CVE-2014-5119、
CVE-2014-9402、CVE-2014-9984、
CVE-2018-6485、CVE-2015-7547、
CVE-2015-0235		 旧版のGNU Cライブラリ（glibc）の脆弱性により、攻撃者はサービス拒否や任意のコード実行など、さまざまな悪影響をリモートで引き起こす可能性があります。
4 操作の不適切な制限、管理されていないリソースの消費、nullポインターの逆参照、バッファオーバーフロー、領域外書き込み、特権の管理、クロスサイトスクリプティングなどの複数の脆弱性。
CVE-2008-4609、CVE-2009-1298、
CVE-2010-1162、CVE-2010-4251、
CVE-2010-4805、CVE-2011-0709、
CVE-2011-2525、CVE-2012-0207、
CVE-2012-2136、CVE-2012-3552、
CVE-2012-6638、CVE-2012-6701、
CVE-2012-6704、CVE-2013-7470、
CVE-2014-2523、CVE-2015-1465、
CVE-2015-5364、CVE-2016-10229、
CVE-2016-3134、CVE-2016-4997、
CVE-2016-7039、CVE-2016-7117、
CVE-2016-8666、CVE-2017-1000111、
CVE-2017-11176、CVE-2017-7618、
CVE-2017-8890、CVE-2019-16746、
CVE-2019-3896、CVE-2010-3848、
CVE-2012-0056、CVE-2010-2692		 旧版のLinuxカーネルにおいて、攻撃者がサービス拒否、大量のトラフィックを送信することによるメモリ消費、特権のエスカレーション、任意のコマンド挿入など、さまざまな悪影響をリモートで引き起こす可能性のある脆弱性。
5 ハードコードされた暗号化キーの使用
（「House of Keys」の脆弱性）		 一意でないX.509証明書とSSHホストキーを使用する組み込みデバイスで、なりすまし攻撃、中間者攻撃、またはパッシブ復号化攻撃ができる可能性があります。
6 リソース管理エラー、バッファオーバーフロー、不適切な認証、不適切な入力検証などを含む複数の脆弱性。
CVE-2006-2937、CVE-2006-2940、
CVE-2006-3738、CVE-2009-3245、
CVE-2010-0742、CVE-2010-3864、
CVE-2010-4252、CVE-2012-2110、
CVE-2014-3512、CVE-2014-3567、
CVE-2014-8176、CVE-2015-0292、
CVE-2016-2108、CVE-2016-2109		 旧版のOpenSSLモジュールで、攻撃者がリモートでサービス拒否攻撃の実行や、任意コード実行が可能になる脆弱性。
7 ハードコードされたパスワードハッシュ
CVE-2016-8717		 ハードコードされた暗号化キーを使用すると、不正アクセスが実行される可能性が高くなります。
8 認証されたコマンドインジェクション
CVE-2021-39279		 巧妙に細工されたコマンドは、特権のエスカレーションを引き起こしたり、オペレーティングシステムのユーザーアクセス管理を回避したりする可能性があります。
9 操作された設定ファイルを介したクロスサイトスクリプティングの反映
CVE-2021-39278		 攻撃者がWebインターフェースを介して悪意のある設定ファイルをデバイスにインポートできるようになっています。

 

影響を受ける製品およびソリューション

影響を受ける製品：

影響を受ける製品とファームウェアバージョンは以下の通りです。

製品シリーズ 影響を受けるバージョン
TAP-323シリーズ ファームウェアバージョン1.3以下
WAC-1001シリーズ ファームウェアバージョン2.1以下
WAC-2004シリーズ ファームウェアバージョン1.6以下

 

対処方法：

Moxaはこの脆弱性に対処するための適切な対策を開発しました。影響を受ける製品に向けた対策は以下の通りです。

製品シリーズ 対処方法
TAP-323シリーズ セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。
WAC-1001シリーズ セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。
WAC-2004シリーズ WAC-2004シリーズは廃番になっているため、リスクを最小限に抑えるために、以下の軽減措置を講じることをお勧めします。
  • デバイスとともに使用するファイアウォールをインストールし、特定のデバイスとユーザーへのアクセスを制限し、認可済みのプロトコルのみを許可します。
  • 異常または不正なIPトラフィックアクセスをブロックします。
  • 複雑なパスワードを使用して、ブルートフォース（総当たり）攻撃が成功するリスクを軽減します。
  • 使用していないインターフェース、サービス、およびポート（DHCP、SNTPなど）を無効にします。
  • ネットワークへの露出を最小限に抑え、必要な場合を除いて、インターネットからデバイスにアクセスできないようにします。
  • リモートアクセスが必要な場合は、仮想プライベートネットワーク（VPN）などの安全な方法を使用してください。

謝辞：

SEC Consult Vulnerability LabのThomas Weber氏には、この脆弱性を報告し、製品のセキュリティ強化に向けて当社と協力し、お客様へのより良いサービスの提供を支援していただきました。この場をお借りして御礼申し上げます。
 

改訂履歴：

バージョン 説明 公開日
1.0 最初の公開 2021年9月1日

関連製品

TAP-323シリーズ · WAC-1001シリーズ · WAC-2004 シリーズ ·

  •   このページを印刷

  • 保存
    My Moxaで保存したリストを管理および共有できます。
関連するアドバイザリー
それを修正しましょう

潜在的なサイバーセキュリティの脆弱性について懸念がある場合は、弊社までご連絡ください。テクニカルサポートスタッフがご連絡いたします。

脆弱性を報告する

個人情報の共有を禁じます

クロスコンテキスト行動広告のために個人情報の共有を希望しない場合には、以下のフォームに必要事項を記入して送信してください。


フォームへの入力をした場合でも、他のウェブサイトで当社の広告が表示される場合があることにご注意ください。これらの広告はあなたの興味との関連性がない可能性があります。

 
 
バッグに追加

バッグを見る

現在、日本 / 日本語サイトにアクセスしています。
お住まいの地域のサイトにアクセスしますか？