2016.07.26(火)

ホームシアターなどのメディアプレイヤー「OpenELEC」に脆弱性(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は2月3日、「OpenELEC」およびその派生製品がハードコードされた root 権限のパスワードを使用しており、デフォルトの設定で root による SSH 接続が有効になっている脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは7.3。

「OpenELEC」および「RasPlex」は、ハードコードされたroot権限のパスワードを使用しており、ファイルシステムの root パーティションは読込み専用(read-only)のため、一度インストールしてしまうとパスワードを変更できない。また、機器への SSH 接続がデフォルトで有効になっている。この脆弱性が悪用されると、リモートの攻撃者によって当該機器に root 権限でアクセスされる可能性がある。JVNでは「パスワード認証による SSH 接続を無効にする」「異なるパスワードを使用してビルドする」「ネットワークアクセスを制限する」ことで、本脆弱性の影響を軽減することが可能としている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

    Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  2. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

    政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  3. 「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

    「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

  4. 位置情報連携型ゲームのプレイにおける注意喚起、個人情報の流出や非正規アプリも(NTTドコモ、KDDI、ソフトバンク、TCA)

  5. 「ポケモンGO」の話題性を悪用した攻撃者について警告(トレンドマイクロ)

  6. CGIにおいて環境変数HTTP_PROXYを使用するWebサーバ、Webアプリに脆弱性(JPCERT/CC)

  7. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  8. トロイの木馬型マルウェアが仕込まれたAndroid版「Pokemon GO」に注意喚起(McAfee)

  9. GNU Wget においてファイル名検証不備により任意のファイルがダウンロードさせられてしまう脆弱性

  10. Android版アプリ「スマ保」に暗号通信の盗聴などが行われる脆弱性(JVN)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×