独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月24日、プラネックス製ネットワーク機器における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。GMOサイバーセキュリティ byイエラエ株式会社の石井健太郎氏、横浜国立大学の本多凌大氏、竹内謙仁氏、上園大智氏、櫛引淳之介氏、九鬼琉氏、佐々木貴之氏、吉岡克成氏が報告を行っている。影響を受けるシステムは以下の通り。
・CVE-2024-45372
MZK-DP300N ファームウェアバージョン 1.04およびそれ以前
・CVE-2024-45836
CS-QR10 すべてのファームウェアバージョン
CS-QR20 すべてのファームウェアバージョン
CS-QR22 すべてのファームウェアバージョン
CS-QR220 すべてのファームウェアバージョン
CS-QR300 すべてのファームウェアバージョン
プラネックスコミュニケーションズ株式会社が提供するルータおよびネットワークカメラには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・クロスサイトリクエストフォージェリ（CVE-2024-45372）
→当該製品のウェブ管理画面にログインした状態のユーザが細工されたページにアクセスした場合、パスワード等の設定を変更させられる
・ウェブ管理画面におけるクロスサイトスクリプティング（CVE-2024-45836）
→当該製品にログインしたユーザが特定のファイルにアクセスすると、ユーザのウェブブラウザ上で任意のスクリプトを実行される
JVNでは、「CVE-2024-45372」については開発者が提供する情報をもとに最新版のファームウェアへアップデートを、「CVE-2024-45836」についてはウェブ設定画面を使用しない、もしくは製品の使用を停止し代替製品に移行するよう呼びかけている。
