Headline

CVE-2022-41830: 京セラ製複合機・プリンターのセキュリティー脆弱性について | 京セラドキュメントソリューションズ

Stored cross-site scripting vulnerability in Kyocera Document Solutions MFPs and printers allows a remote authenticated attacker with an administrative privilege to inject arbitrary script. Affected products/versions are as follows: TASKalfa 7550ci/6550ci, TASKalfa 5550ci/4550ci/3550ci/3050ci, TASKalfa 255c/205c, TASKalfa 256ci/206ci, ECOSYS M6526cdn/M6526cidn, FS-C2126MFP/C2126MFP+/C2026MFP/C2026MFP+, TASKalfa 8000i/6500i, TASKalfa 5500i/4500i/3500i, TASKalfa 305/255, TASKalfa 306i/256i, LS-3140MFP/3140MFP+/3640MFP, ECOSYS M2535dn, LS-1135MFP/1035MFP, LS-C8650DN/C8600DN, ECOSYS P6026cdn, FS-C5250DN, LS-4300DN/4200DN/2100DN, ECOSYS P4040dn, ECOSYS P2135dn, and FS-1370DN.

2 years ago

CVE

Open in Source

#xss #vulnerability #java #auth #ssl

平素は弊社商品をご愛顧いただき厚く御礼申し上げます。

この度、弊社複合機・プリンターにおけるセキュリティー上の脆弱性が判明いたしましたので、お知らせします。

脆弱性の内容

3つの脆弱性が存在することが確認されています。

※本脆弱性については第三者がネットワークにアクセスできる状況が前提条件となります。
第三者にアクセスされる環境でなければ脆弱性の問題が発生することはございません。

脆弱性番号： JVN#46345126
https://jvn.jp/jp/JVN46345126/

Command Centerにおけるセッション管理不備の脆弱性 CVE-2022-41798

ネットワーク経由で機器にアクセス可能な利用環境において、Cookieを偽造することで、Command Centerのログイン認証を回避してログインすることができ、登録されているデータが取得できる可能性があります。
Command Centerにおける認証不備の脆弱性 CVE-2022-41807

ネットワーク経由で機器にアクセス可能な利用環境において、CGI（Common Gateway Interface）を利用することで、クライアントPCから機器に設定変更を要求すると、Command Centerのログイン認証を回避して設定変更ができ、意図しない設定に変更できる可能性があります。
Command Centerにおけるクロスサイトスクリプティングの脆弱性 CVE-2022-41830

ネットワーク経由で機器にアクセス可能な利用環境において、SSL/TLSの登録・設定・参照機能を悪用し、証明書に不正な JavaScript を埋め込むことができ、機器管理者がCommand CenterからSSL/TLS証明書を参照することで、JavaScriptが実行され、機器管理者が被害に遭う可能性があります。

なお、セキュリティー脆弱性に対応したファームウェアの適用は、保守実施店にご用命ください。

ファームウェアの適用までは、以下の回避策を講じていただけますようお願いいたします。

回避策****回避策1

外部からの不正アクセスによる情報漏洩や不正使用のリスクを低減するために、複合機をインターネットに接続する際は、ファイアウォールなどで保護された環境の中でのご利用をお願いします。これにより、インターネットを経由した外部からの不正アクセスを遮断することができます。

回避策2

複合機・プリンターのIPアドレスは、プライベートIPアドレス※を設定して運用することを推奨いたします。グローバルIPアドレスが設定されている場合、外部からの不正アクセスによる情報漏えいリスクが高まります。

※プライベートIPアドレス：「192.168.x.x」「172.16.x.x～172.31.x.x」「10.x.x.x.」の番号が割り当てられたIPアドレス(xは0~255)
■IPアドレスの確認方法（よくあるお問い合わせ）
https://faq.kyoceradocumentsolutions.co.jp/Detail.aspx?id=136

製品

カテゴリー

対象モデル

カラー複合機

TASKalfa 7550ci/6550ci
TASKalfa 5550ci/4550ci/3550ci/3050ci
TASKalfa 255c/205c
TASKalfa 256ci/206ci
ECOSYS M6526cdn/M6526cidn
FS-C2126MFP/C2126MFP+/C2026MFP/C2026MFP+

モノクロ複合機

TASKalfa 8000i/6500i
TASKalfa 5500i/4500i/3500i
TASKalfa 305/255
TASKalfa 306i/256i
LS-3140MFP/3140MFP+/3640MFP
ECOSYS M2535dn
LS-1135MFP/1035MFP

カラープリンター

LS-C8650DN/C8600DN
ECOSYS P6026cdn
FS-C5250DN

モノクロプリンター

LS-4300DN/4200DN/2100DN
ECOSYS P4040dn
ECOSYS P2135dn
FS-1370DN

今後、内容に変更が生じた場合は随時更新いたします。

弊社ではより高度なセキュリティー機能を搭載した後継製品・新製品を開発し販売しております。また、回避策に利用頂けるセキュリティー対策商品も販売しております。お客様の情報資産を安全に保護するためにも、後継製品・新製品及びセキュリティー対策商品のご検討を賜りますようお願い申し上げます。