IPCOM シリーズのコマンド操作端末／Webブラウザ端末とIPCOM間通信における脆弱性について

初回掲載日：2022年5月9日（更新日：2022年6月16日）

1.概要

IPCOMを操作する管理インタフェースには脆弱性が存在します。攻撃者がIPCOMを操作する為のインタフェースにアクセス可能な場合、不正な操作(*1)が行われる可能性があります。

*1：例えば以下のような操作が可能になります。

1. IPCOMの設定変更を行う事による、お客様業務の妨害・停止
2. IPCOMを通過する通信の窃取
3. IPCOMを踏み台とした周辺装置への侵害

IPCOMを操作する管理インタフェースで脆弱性があるインタフェースは、以下の2つが該当します。

• IPCOMのグラフィカルユーザインタフェース(Webコンソール)
• IPCOMのコマンドラインインタフェース(TELNET)

脆弱性を突く攻撃は、攻撃者からIPCOMの管理インタフェースにアクセス可能な場合にのみ発生します。
具体的には、以下の条件を全て満たした場合に発生する可能性があります。

（1）コマンド操作端末、Webブラウザ端末の設置場所として、運用管理専用として敷設されているネットワーク上に配置していない場合

かつ

（2）コマンド操作端末、Webブラウザ端末としてIPCOMへアクセスできる端末をIPCOMのファイアウォール機能で適切に制限していない場合

尚、マニュアル記載の通りに設定されていれば、上記条件には合致せず、許可された端末以外からの不正なアクセスは回避可能です。

2.該当製品

2022年6月16日時点で、本脆弱性の影響を受けるIPCOM製品及び、ファームウェア版数は以下の通りです。

IPCOM EX2シリーズ(V01L0x系) 対象版数：～V01L05 NF0401

IPCOM EX2シリーズ(V01L20系) 対象版数：～V01L20 NF0201

IPCOM EX2シリーズ(V02L21系) 対象版数：～V02L21 NF0102

IPCOM EXシリーズ(E20系) 対象版数：～E20L33 NF0901

IPCOM EXシリーズ(E30系) 対象版数：～E30L11 NF0401

IPCOM VE2シリーズ 対象版数：～V01L05 NF0301

IPCOM VA2/VE1シリーズ 対象版数：～E20L33 NF0901

凡例：「－」：本脆弱性該当なし ／ 「あり」：本脆弱性該当あり ／ 「空欄」：製品なし ／ 「調査中」：確認中（後報）

3.対処版数、時期

• *2
  FUJITSU Managed Infrastructure Service SupportDeskの契約が必要です。
  対処版数はお客様専用ホームページ［SupportDesk-Web］内の各製品ページ内から取得して下さい。
• *3
  公開ホームページからダウンロード可能です。
  以下のURLからご利用の機器情報を入力した上で取得して下さい。
  https://www.fujitsu.com/jp/products/network/security-bandwidth-control-load-balancer/ipcom/support/update/
• *4
  製品添付の「IPCOM EX2700 E30ファームウェアキットをお使いになる前に」に記載されているダウンロードページから取得して下さい。

4.お問い合わせ窓口

本事象の内容及び対処方法に関するお問い合わせにつきましては、以下のお問い合わせ窓口にて対応させていただきます。
必要事項をご記入の上、以下の宛先まで、メールにてご連絡くださいますようお願いいたします。別途、弊社担当者より、お問い合わせ内容についてご回答させていただきます。

尚、お問い合わせいただきました内容によっては、ご回答までに時間を要する場合がありますので、予めご了承願います。