Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定では、暗号化されていない平文で通信し、また、パスワードによるユーザ認証を行いません。 センシティブなデータを暗号化しない (CWE-311) Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定では、通信内容を暗号化しないプロトコルである HTTP、Telnet、FTP を用いており、よりセキュアなプロトコルを使用するよう設定するのはエンドユーザの責任としています。そのためデフォルト設定では、第三者によって通信が閲覧されたり改ざんされたりする可能性があります。 CWE-311: Missing Encryption of Sensitive Data https://cwe.mitre.org/data/definitions/311.html 不適切なアクセス制御 (CWE-284) - CVE-2015-2909 Dedicated Micros のデジタルビデオレコーダ製品は、デフォルト設定ではユーザ認証を要求しません。エンドユーザはデバイスにパスワードを設定することができますが、必須ではありません。デフォルト設定では、第三者によって自由にデバイスにアクセスされたりデータを改ざんされたりする可能性があります。 CWE-284: Improper Access Control https://cwe.mitre.org/data/definitions/284.html

2015年8月21日現在、対策方法は不明です。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* セキュアなプロトコルを使用する 　　開発者は「ユーザが希望する場合、HTTPS や SSH を使用するよう設定したり、 　　POST メソッドでのアップロードを HTTPS 経由にするよう設定したりすること 　　が可能」としています。 　　開発者が提供する情報をもとに、セキュアなプロトコルを使用するよう設定し 　　てください。 　* パスワードによるユーザ認証を有効にする 　　開発者は次のように述べています。 　　　　デフォルト設定のシステムでは、HTTP、Telnet、FTP でユーザ認証を 　　　　行っていません。デフォルトのユーザ名やパスワードを設定しておく 　　　　ことは安全ではないので、Dedicated Micros では、ユーザ自身がそれ 　　　　らを設定するようアドバイスしています。GUI 上には、ユーザ名とパス 　　　　ワードの設定を促す警告文が表示されます。 　　個々のデバイスのドキュメントや開発者が提供する情報をもとに、ユーザ認証 　　を有効にしてください。 [セキュアな設定をデフォルトにする] 開発者は、エンドユーザに設定をまかせるのではなく、合理的にセキュアなシステムをデフォルト設定で提供すべきです。Shodan の結果によると、複数の Dedicated Micros のデバイスがユーザ認証なしにアクセス可能な状態でインターネット上に存在しています。製品のセキュリティ向上のために、次のような項目の実装を検討してください。 　* デフォルトでセキュアなプロトコルを使用する。または、外部との接続が設定 　　されるときに、ユーザにセキュアなプロトコルを使用するよう促す。 　* ユニークなデフォルトパスワードを設定する。MAC アドレスから決定されるよ 　　うなものであってもかまわない。 　* セットアップ作業のなかで、パスワードの変更をユーザに求める。 Shodan の結果 https://www.shodan.io/search?query=command+line+processor+-username