NVD脆弱性詳細
Exploit、PoC検索
CVE-2016-4863
概要

The Toshiba FlashAir SD-WD/WC series Class 6 model with firmware version 1.00.04 and later, FlashAir SD-WD/WC series Class 10 model W-02 with firmware version 2.00.02 and later, FlashAir SD-WE series Class 10 model W-03, FlashAir Class 6 model with firmware version 1.00.04 and later, FlashAir II Class 10 model W-02 series with firmware version 2.00.02 and later, FlashAir III Class 10 model W-03 series, FlashAir Class 6 model with firmware version 1.00.04 and later, FlashAir W-02 series Class 10 model with firmware version 2.00.02 and later, FlashAir W-03 series Class 10 model does not require authentication on accepting a connection from STA side LAN when "Internet pass-thru Mode" is enabled, which allows attackers with access to STA side LAN can obtain files or data.

公表日 2017年5月23日1:29
登録日 2021年1月26日14:12
最終更新日 2024年11月21日11:53
CVSS3.0 : MEDIUM
スコア 4.3
ベクター CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
攻撃元区分(AV) 隣接
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) 低
完全性への影響(I) なし
可用性への影響(A) なし
CVSS2.0 : LOW
スコア 3.3
ベクター AV:A/AC:L/Au:N/C:P/I:N/A:N
攻撃元区分(AV) 隣接
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) なし
可用性への影響(A) なし
全ての特権を取得 いいえ
ユーザー権限を取得 いいえ
その他の権限を取得 いいえ
ユーザー操作が必要 いいえ
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 1.00.03
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 1.02
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 2.00.03
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 3.00.01
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 1.00.06
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 1.00.04
cpe:2.3:a:toshiba:flashair:*:*:*:*:*:*:*:* 3.0.2
関連情報、対策とツール
共通脆弱性一覧
JVN脆弱性情報
FlashAir におけるアクセス制限不備の脆弱性
タイトル FlashAir におけるアクセス制限不備の脆弱性
概要

株式会社東芝が提供する FlashAir は、無線 LAN 接続機能を搭載した SDHC メモリカードです。FlashAir の初期設定では、インターネット同時接続機能を有効にした場合、STA 側 LAN (FlashAir が他のアクセスポイントに接続する側) から認証なしで接続可能な脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: シーソフト 塚田将久 氏

想定される影響 当該製品が接続する STA 側 LAN にアクセス可能な第三者によって、当該製品に記録されているファイルやデータを取得される可能性があります。また、FlashAir Class 10 SD-WE シリーズ W-03 で認証に関する設定を追加せずに WebDAV によるアクセスとファイルアップロードを許可するよう設定している場合、当該製品に記録されているファイルやデータを改ざんされたり、任意の Lua スクリプトを実行されたりする可能性があります。
対策

[認証設定を追加する] インターネット同時接続機能を有効にする前に、FlashAir のウェブサーバへの接続時に認証を要求するよう設定してください。FlashAir の API には、次の項目が用意されています。 ・HTTPDMODE -- 認証方法 ・HTTPDPASS -- Basic 認証のパスワード、Digest 認証のハッシュ値 詳しくは、開発者が提供する情報をご確認ください。
公表日 2016年9月27日0:00
登録日 2016年9月27日12:08
最終更新日 2017年11月27日17:02
影響を受けるシステム
東芝
FlashAir SD-WD/WC シリーズ Class 10 モデル W-02 ファームウェアバージョン 2.00.02 およびそれ以降
FlashAir SD-WD/WC シリーズ Class 6 モデル ファームウェアバージョン 1.00.04 およびそれ以降
FlashAir SD-WE シリーズ Class 10 モデル W-03
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
0 [2016年09月27日]
  掲載
[2016年10月11日]
  概要：内容を更新
  想定される影響：内容を更新
[2017年11月27日]
  参考情報：National Vulnerability Database (NVD) (CVE-2016-4863) を追加		 2018年2月17日10:37