ホームシアターなどのメディアプレイヤー「OpenELEC」に脆弱性（JVN）

IPAおよびJPCERT/CCは、「OpenELEC」およびその派生製品がハードコードされた root 権限のパスワードを使用しており、デフォルトの設定で root による SSH 接続が有効になっている脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2016.2.4 Thu 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は2月3日、「OpenELEC」およびその派生製品がハードコードされた root 権限のパスワードを使用しており、デフォルトの設定で root による SSH 接続が有効になっている脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3によるBase Scoreは7.3。

「OpenELEC」および「RasPlex」は、ハードコードされたroot権限のパスワードを使用しており、ファイルシステムの root パーティションは読込み専用（read-only）のため、一度インストールしてしまうとパスワードを変更できない。また、機器への SSH 接続がデフォルトで有効になっている。この脆弱性が悪用されると、リモートの攻撃者によって当該機器に root 権限でアクセスされる可能性がある。JVNでは「パスワード認証による SSH 接続を無効にする」「異なるパスワードを使用してビルドする」「ネットワークアクセスを制限する」ことで、本脆弱性の影響を軽減することが可能としている。

《吉澤亨史（ Kouji Yoshizawa ）》