FAQの参照

APCセキュリティ勧告−Network Management CardのWebインタフェースへの不正なアクセスを許す脆弱性について [2010年公表]

公開日: 02 6月 2016

この文書では、「APC セキュリティ勧告 - Network Management CardのWebインタフェースへの不正なアクセスを許す脆弱性について」について記述しています。

 

【問題の概要】
APC UPS Network Management Card (以下、NMC) のWEBユーザインタフェースに対し、認証されないユーザによる不正アクセスが行われる可能性があります。

【該当するファームウェアバージョン】
AP9630/AP9631 Network Management Card 2
 • Smart-UPS v5.1.0 (SFSUMX510)
 • Symmetra 単相 v5.1.0 (SFSY510)
 • Symmetra 三相 v5.1.0 (SFSY3P510)

※ 上記バージョンは日本国内では公開されておりません。

AP9617/AP9619 Network Management Card EX/EM
 • Smart-UPS v3.7.1 (SFSUMX371)
 • Symmetra 単相 v3.7.1 (SFSY371)
 • Symmetra 三相 v3.7.1 (SFSY3371)
 • Silcon UPS v3.7.1 (SFDPE3E371)
※ v3.7.1は2010年1月15日より1月26日までの間、APC社ダウンロードサイトで公開されていました。
  その間にファームウェアファイルをダウンロードした方はバージョンをご確認の上、上記に該当する場合は必ずアップグレードを行ってください。
 
上記以外のファームウェア(以前のバージョンを含む)では、このセキュリティ脆弱性は ありません。

【問題の詳細】
NMCはクロス・サイト・スクリプティング(Cross Site Scripting, XSS)およびクロス・サイト・リクエスト・フォージェリ(Cross Site Request Forgery, CSRF)の脆弱性があります。
この場合、次にあげる各条件が全て重なった場合、認証されたユーザのブラウザ・セッション中に、許可されない第三者や悪意のある内部関係者によってNMCの認証証明書が生成され、NMCへ送信されます。
  1. NMCがセキュリティ対策が行われていない(ファイアウォールなどで保護されていない)ネットワーク上にあること。
  2. コンピュータの管理者や利用者などから、話術や盗み聞き、盗み見などの「社会的」な手段によって、
    他者が悪意のあるスクリプトをクライアント・コンピュータ上で実行することが可能な状態になっていること(ソーシャル・エンジニアリング)。
  3. クライアント・コンピュータ上で、ユーザはインターネット・エクスプローラやファイアフォックスなどのブラウザ・アプリケーションを実行する権限があること。
    もしくは、これらのアプリケーションをインストールし、実行するための権限があること。
  4. NMCにログインするための "administrator"または"device"ユーザとしての権限があること。
  5. NMCに悪意のあるプログラムをアップロードしたり実行したりする試みが行われていること。
  6. NMCのセッションを開いたままにされていること。

上記の全ての条件が重なった場合、第三者や悪意のある内部関係者がターゲットNMCデバイスにコンタクトし、証明書を偽造して、許可されたユーザとしてそのデバイスにアクセスできることになります。

【回避方法】
この脆弱性に対応した修正バージョンがリリースされています。上記バージョンをお使いの場合は至急修正バージョンにアップグレードしてください。
ダウンロードは http://www.apc.co.jp/download から行うことができます。

修正バージョン
  • AP9630/AP9631 Network Management Card 2 : v5.1.1
  • AP9617/AP9619 Network Management Card EX/EM : v3.7.2

【セキュリティリスクを低減する方法】
修正バージョンにバージョンアップできない場合、以下の方法によりセキュリティリスクを低減することができます。
  • telnet、SNMP、シリアルケーブル接続など、WEBユーザインタフェース以外のアクセス方法にはこの脆弱性はありません。
    従って、WEBインタフェースを使用していない場合は、WEBインタフェースを無効にすることにより、この問題を回避できます。
    WEBインタフェースを無効に設定する方法はNetwork Management Cardのユーザマニュアルを参照してください。
  • Network Management Cardをイントラネットまたはファイアウォールで保護されたネットワーク上に置くことによって、外部からの不正なアクセスを防ぐことができます。
  • Network Management CardがWEBベースの通信を行うために使用するポートを、デフォルトのポート番号(HTTPの場合80、HTTPSの場合443)からデフォルトでないポート番号に変更すると問題を回避することができます。

これは役に立ちましたか?

私たちは情報を改善するために何ができるのでしょうか?

目的の情報が見つかりませんか?

カスタマーチームにお問い合わせいただき、テクニカルサポート情報、クレームへの対応、その他のサポートを受けることができます。