本ページはプロモーションが含まれています。

おしらせ

【脆弱性】バッファローのスイッチに脆弱性　すぐ対策を

投稿：2023年3月17日

ネットワークニュース

ハブ

故障、トラブル

WiFiルータだけでなく、スイッチの脆弱性が露見した。
バッファローから製品の問題が見つかったという発表があった。
ネットワーク機器のまとめはこちら。

IrvineのもっとPC自作日記

2019.01.13

ネットワーク機器まとめ

https://irvinejp.net/pcdiy/network_eq_summary/

インターネット全盛の今、ネットワーク機器なしではPCもスマホの使い物にならない。（もちろんLTEなどで携帯電話回線でつなぐ方法はあるが)家庭内のネットワーク機器も以前なら壊れてから交換だったが、もはや速度が出なければ寿命前でも積極的に交換していかなければいけない。固定回線引っ越ししてからずっと光ファイバで通信している。電話、ネットだけでなく、テレビも光ファイバで供給している。フレッツ光の問題点としてIPv4方式ではPPoEによるボトルネック問題があり、低速に悩まされた時期があったが、IPoEの採用によっ...

開催中のPCセール・キャンペーン情報

Microsoft Public Affiliate Program (JP)(マイクロソフトアフィリエイトプログラム）

脆弱性情報

スイッチとはハブの高機能版だ。IPアドレスをもって、設定ができる。VLANを設定するにはスイッチが必要だ。
そして、バッファローのスイッチで脆弱性が見つかった。他社もあると思うがWiFiだけでなくスイッチまでも。バッファローが目立つのは多数売れているからなのだろうか。
今回の脆弱性は3つ。引用する。

バッファロー　脆弱性 2303 出典：バッファロー　以下同じ

脆弱性①　ハードコードされた認証情報の使用(CWE-798) – CVE-2023-26588

脆弱性②　不適切なアクセス制御 (CWE-284) – CVE-2023-24544

脆弱性③　格納型クロスサイトスクリプティング (CWE-79) – CVE-2023-24464

ちなみにCVE～で始まる番号は、IPAが定めている脆弱性の番号だ。それぞれに対して危険度が定義されている。
これら脆弱性による影響はWEBに書かれていることを引用する。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

当該商品のデバッグ機能にアクセスされる (脆弱性①)。
当該製品の特定ファイルを窃取され、結果として製品の設定を不正に変更される (脆弱性②)。
Web管理画面にアクセス可能な攻撃者によって、正規ユーザーのウェブブラウザー上で任意のJavaScriptを実行される (脆弱性③)。

ハードコードされた認証情報や不適切なアクセス制御により自由にユーザのネットワークに入られてしまう。

対策

対策ファームウェアが出ているので、即アップデートを。

対象製品

下記にある製品が対象だ。
見えにくい場合は公式WEBで確認を。

公式WEB

以下のように対策ファームウェアが提供されている。

バッファロー　脆弱性 2303

スイッチは家庭で使われるよりはオフィス、データセンタで使われる。
例えば、先頭にあるBS-GSL2005を見るとその特徴は

19インチラック
VLAN
QoS対応

と、大中規模のネットワーク構築に必要な機能が並ぶ。　本ブログは仕事で閲覧する方も多いのでご参考まで。

IPA

Irvine

PC自作

スイッチ

著者プロフィール

irvine

　ソフトウェア設計、ストレージ設計を経てクラウドにかかわる仕事をしている、東京郊外在住のエンジニア。
　仕事でUS,UK,SGなどの国とかかわる。
　自作PC、スマホ、タブレット、AV機器好き。ドラクエウォークはルーチンワーク。Linuxやストレージ、IT業界の動向は興味を持っている。
　新しい機器、サービスに興味あり。年数回のレビュー（自腹購入、ご依頼）と発表されて興味があるものの新製品机上レビューをやっている。
　2022年はJAPANNEXT様のアンバサダーを務めました。