ティアンドデイ製およびエスペックミック製データロガーに複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月19日、ティアンドデイ製およびエスペックミック製データロガーにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。横浜国立大学の乃万誉也氏、稲澤朋也氏、森井裕大氏、櫛引淳之介氏、佐々木貴之氏、吉岡克成氏が報告を行っている。影響を受けるシステムは以下の通り。

・株式会社ティアンドデイ提供製品
TR-71W/72W すべてのファームウェアバージョン
RTR-5W すべてのファームウェアバージョン
WDR-7 すべてのファームウェアバージョン
WDR-3 すべてのファームウェアバージョン
WS-2 すべてのファームウェアバージョン

・エスペックミック株式会社提供製品
RT-12N/RS-12N すべてのファームウェアバージョン
RT-22BN すべてのファームウェアバージョン
TEU-12N すべてのファームウェアバージョン

※エスペックミック株式会社提供製品は、株式会社ティアンドデイの OEM 製品

　株式会社ティアンドデイおよびエスペックミック株式会社が提供するデータロガーには、下記の影響を受ける複数の脆弱性が存在する。

・サーバセキュリティのクライアント側での実施（CVE-2023-22654）
→当該製品にログインした状態のユーザのウェブブラウザ上で任意のスクリプトを実行される

・不適切な認証（CVE-2023-27388）
→当該製品にアクセス可能な攻撃者によって当該製品に正規ユーザとしてログインされる

・重要な機能に対する認証の欠如（CVE-2023-23545）
→当該製品にアクセス可能な攻撃者によって認証無しで設定を改ざんされる

・クロスサイトリクエストフォージェリ（CVE-2023-27387）
→当該製品にログインした状態のユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる

　当該製品は 2014年に販売を終了しており、JVNでは恒久的な対策として、製品の使用停止を推奨している。

　なお、当該製品の使用停止までの間は下記のワークアラウンドを実施することを推奨している。

・ネットワークアクセスを信頼できる閉域網で構成する
・上位ネットワーク機器による IP アドレス制限などを用いて、利用端末を固定する
・上位ネットワーク機器にて WAF を導入し、攻撃をフィルタする