Crestron Electronics製品に複数の脆弱性（JVN）

IPAおよびJPCERT/CCは、Crestron Electronicsが提供する「AirMedia Presentation Gateway AM-100」および「DM-TXRX-100-STR」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2016.8.3 Wed 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は8月2日、Crestron Electronicsが提供する「AirMedia Presentation Gateway AM-100」および「DM-TXRX-100-STR」に複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは9.8。

「AirMedia Presentation Gateway AM-100 firmware version 1.4.0.13 より前のバージョン」には、ディレクトリトラバーサル（CVE-2016-5639）およびコマンドインジェクション（CVE-2016-5640）の脆弱性が存在する。これらの脆弱性が悪用されると、リモートの第三者によって当該機器内の任意のファイルにアクセスされたり、当該機器上で任意のOSコマンドを実行される可能性がある。

「DM-TXRX-100-STR firmware version 1.2866.00026 およびそれ以前」のWeb管理画面には、クライアントサイド認証の使用（CVE-2016-5666）、リクエストの直接送信（CVE-2016-5667）、重要な機能に対する認証の欠如（CVE-2016-5668）、暗号鍵がハードコードされている問題（CVE-2016-5669）、証明書やパスワードの管理（CVE-2016-5670）、クロスサイトリクエストフォージェリ（CVE-2016-5671）の脆弱性が存在する。これらの脆弱性が悪用されると、リモートの第三者によって、複数の手法で当該製品の管理権限を取得され、任意の操作を実行される可能性がある。

JVNでは開発者の情報をもとにアップデートするよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》