NVD脆弱性詳細
Exploit、PoC検索
CVE-2021-37289
概要

Insecure Permissions in administration interface in Planex MZK-DP150N 1.42 and 1.43 allows attackers to execute system command as root via etc_ro/web/syscmd.asp.

公表日 2022年8月23日0:15
登録日 2022年8月23日10:00
最終更新日 2024年11月21日15:14
CVSS3.1 : HIGH
スコア 7.2
ベクター CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 高
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) 高
完全性への影響(I) 高
可用性への影響(A) 高
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:o:planex:mzk-dp150n_firmware:1.42:*:*:*:*:*:*:*
cpe:2.3:o:planex:mzk-dp150n_firmware:1.43:*:*:*:*:*:*:*
実行環境
1 cpe:2.3:h:planex:mzk-dp150n:*:*:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧
JVN脆弱性情報
プラネックスコミュニケーションズ製 MZK-DP150N における非公開の管理者向け機能の存在
タイトル プラネックスコミュニケーションズ製 MZK-DP150N における非公開の管理者向け機能の存在
概要

プラネックスコミュニケーションズ株式会社が提供する MZK-DP150N には、非公開の管理者向け画面が存在します (CVE-2021-37289、CWE-912)。 本製品の初期設定では、設定画面へのログインアカウントがすべての機器で共通になっています。 使用にあたっては、アカウント情報を初期設定から変更してください。 この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: Necrum Security Labs Thomas J. Knudsen 氏、Samy Younsi 氏

想定される影響 設定画面にログインできるユーザーによって、管理者権限で任意の OS コマンドを実行される可能性があります。 
対策

[アップデートする] 開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。 開発者は本脆弱性を修正した MZK-DP150N v1.44 を リリースしています。

公表日 2022年8月22日0:00
登録日 2022年8月23日14:08
最終更新日 2024年6月14日14:05
影響を受けるシステム
プラネックスコミュニケーションズ株式会社
MZK-DP150N ファームウェア v1.43 およびそれ以前
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2022年08月23日]   掲載 2022年8月23日13:48
2 [2024年06月14日]
  参考情報：National Vulnerability Database (NVD) (CVE-2021-37289) を追加
 2024年6月14日14:05