「Fonality（旧称 trixbox Pro）」に複数の脆弱性（JVN）

IPAおよびJPCERT/CCは、Fonalityが提供するIP-PBXソリューション「Fonality（旧称 trixbox Pro）」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

33 views

2016.6.3 Fri 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は6月2日、Fonalityが提供するIP-PBXソリューション「Fonality（旧称 trixbox Pro）」に複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは8.8。

「Fonality version 12.6 およびそれ以降のバージョンで、修正パッチを適用していないもの」には、認証情報がハードコードされている問題（CVE-2016-2362）、不適切な権限設定（CVE-2016-2363）、暗号鍵がハードコードされている問題（CVE-2016-2364）の脆弱性が存在する。

これらの脆弱性が悪用されると、当該製品にハードコードされたパスワードを知るリモートの第三者によって、サーバに nobody としてログインされ、root 権限で任意のコマンドを実行される可能性がある。またプラグインにハードコードされた秘密鍵を知る攻撃者によって、なりすましや中間者（man-in-the-middle）攻撃、通信内容の解読などが行われる可能性がある。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》