ARRIS製ケーブルモデムに複数の脆弱性 - JPCERT/CC

JPCERTコーディネーションセンター(Japan Computer Emergency Response Team Coordination Center、JPCERT/CC)は11月24日、「Japan Vulnerability Notes(JVN)」に掲載した記事「JVNVU#90662356: ARRIS 製ケーブルモデムに複数の脆弱性」において、ARRIS製の複数のケーブルモデムプロダクトに複数のセキュリティ脆弱性が存在すると伝えた。問題を修正する方法は不明とされている。

今回発表された脆弱性の影響を受けるプロダクトは次のとおり。

TG862A
TG862G
DG860A

脆弱性が確認されたファームウェアおよびバージョンば次のとおり。

TS0705125D_031115_NA.MODEL_862.GW.MONO
TS0705125_062314_NA.MODEL_862.GW.MONO
TS070593C_073013_NA.MODEL_862.GW.MONO
TS0703128_100611_NA.MODEL_862.GW.MONO
TS0703135_112211_NA.MODEL_862.GW.MONO

これらケーブルモデムにはバックドアパスワード、クロスサイトスクリプティング、クロスサイトリクエストフォージェリなど、複数の脆弱性が存在するとされている。これら脆弱性を突かれると、影響を受けたシステムに管理者権限でアクセスされる危険性がある。上記のプロダクトおよびファームウェア以外にも同様の脆弱性があるとされており注意が必要。

該当するプロダクトを使用している場合は、ベンダからの情報に注目するとともに、アップデートが提供されるまで一時回避策を適用するなどの対応を取ることが推奨される。