情報処理推進機構(略称:IPA、理事長:藤原武平太)は、複数のヤマハルーター製品におけるセキュリティ上の弱点(脆弱性)に関する注意喚起を、2008年1月28日に公表しました。これは、複数のヤマハルーター製品のウェブ管理画面にログイン中の利用者が悪意あるページを閲覧した場合に、ウェブ管理画面で意図しない操作をさせられてしまうものです。悪用されると、対象製品の管理用パスワードを変更されたり、対象製品の設定を変更させられてしまうなどの、意図しない設定変更をさせられてしまう可能性があります。対策方法は「ファームウェアを最新バージョンにアップデートする」あるいは「設定を変更する」ことです。1.概要ヤマハ株式会社が提供する、ファイアウォールルーター「SRT100」、ブロードバンドVoIPルーターの「RT58i」、イーサアクセスVPNルーター「RTX1100」などのヤマハルーター製品には、ウェブ管理画面を利用することでウェブラウザから各機能を設定できるものがあります。この、ウェブ管理画面には、クロスサイト・リクエスト・フォージェリ(CSRF)(*1)というセキュリティ上の弱点(脆弱性)があるため、悪意あるページを閲覧した利用者が、ウェブ管理画面で意図しない操作をさせられてしまう可能性があります。対象製品の詳細は、次のURLを参照して下さい。http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVN88575577.html最新情報は、次のURLを参照して下さい。コーディネーションセンター(JPCERT/CC)が製品開発者と調整を行ない、2008年1月28日に公表したものです。氏2.脆弱性による影響ヤマハルーター製品の管理者がウェブ管理画面にログインした状態で悪意あるページを読み込んだ場合、パスワードなどの設定が変更される可能性があります。この結果、同製品が悪意あるユーザによって設定を変更され、制御される恐れがあります。対策方法は「ファームウェアを最新バージョンにアップデートする」あるいは「設定を変更する」ことです。対象製品毎に対策方法が異なりますので、ヤマハ株式会社が提供する、次のURLの情報をもとに対応して下さい。A:AvailabilityImpact5.参考情報(1)「情報セキュリティ早期警戒パートナーシップ」についてソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン)に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています(図5-1参照)。「脆弱性関連情報に関する届出状況(プレスリリース)」を参照下さい。概要や想定される脅威、対策などは、「知っていますか?脆弱性」を参照下さい。