サイレックス・テクノロジー製 SD-330AC および AMC Manager に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月20日、サイレックス・テクノロジー製SD-330ACおよびAMC Managerにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。Forescout TechnologiesのFrancesco La Spina氏が報告を行っている。影響を受けるシステムは以下の通り。

SD-330AC Ver.1.42およびそれ以前のバージョン
AMC Manager Ver.5.0.2およびそれ以前のバージョン

　サイレックス・テクノロジー株式会社が提供するSD-330ACおよびAMC Managerには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・リダイレクトURLの処理におけるスタックベースのバッファオーバーフロー（CVE-2026-32955）
→当該機器上で任意のコードが実行される

・リダイレクトURLの処理におけるヒープベースのバッファオーバーフロー（CVE-2026-32956）
→当該機器上で任意のコードが実行される

・ファームウェアに関する重要な機能に対する認証の欠如（CVE-2026-32957）
→認証なしに当該機器上に任意のファイルがアップロードされる

・ハードコードされた暗号鍵の使用（CVE-2026-32958）
→偽のファームウェアアップデートを適用させられる

・解読される恐れの高い暗号アルゴリズムの使用（CVE-2026-32959）
→AMC Managerとデバイスとの間の通信に対して中間者攻撃が行われた場合、設定データなどを取得される

・リソース内の機微な情報がリソースの再利用前に削除されない（CVE-2026-32960）
→細工されたパケットにより、パスワードなしでログインされる

・sx_smpdのパケットデータ処理におけるヒープベースのバッファオーバーフロー（CVE-2026-32961）
→細工されたパケットを処理することで、一時的にサービス運用妨害（DoS）状態にされる

・デバイス設定に関する重要な機能に対する認証の欠如（CVE-2026-32962）
→認証なしに設定を改ざんされる

・反射型クロスサイトスクリプティング（CVE-2026-32963）
→当該機器にログインしているユーザが細工されたページにアクセスすると、ユーザのブラウザ上で意図しない処理が実行される

・CRLFインジェクション（CVE-2026-32964）
→細工された設定データを処理すると、システム設定に任意のエントリを追加される

・安全ではない値を用いたリソースの初期化（CVE-2026-32965）
→パスワードを設定しないままネットワークに接続している場合、長さ0の文字列をパスワードとして当該機器の設定を変更される

・脆弱なサードパーティ製コンポーネントの使用（CVE-2015-5621）
→当該機器に組み込まれているnet-snmpの古い脆弱なバージョンのプログラムに対する攻撃を意図したパケットを処理することにより、サービス運用妨害（DoS）状態にされる

・不適切な権限の割り当て（CVE-2024-24487）
→認証なしに当該機器を再起動される

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、下記のバージョンで修正されている。

SD-330AC ファームウェア Ver.1.50以降
AMC Manager Ver.5.1.0以降

　またJVNでは、下記のワークアラウンドを紹介している。

・CVE-2026-32955、CVE-2026-32956、CVE-2026-32957、CVE-2026-32963
HTTP/HTTPSサービスを無効化する。

・CVE-2026-32958、CVE-2026-32965
設定WEBにパスワードを設定する。

・CVE-2015-5621
SNMPサービスを無効化する。

元の記事を読む