JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は2月16日、「JVN#58774946: FileZen における OS コマンドインジェクションの脆弱性」において、FileZenにOSコマンドインジェクションの脆弱性が存在すると伝えた。
この脆弱性を悪用されると、管理者アカウントを取得した攻撃者によって遠隔から任意のOSコマンドを実行される危険性があるとされており注意が必要。
脆弱性に関する情報は次のページにまとまっている。
脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。
- FileZen V3.0.0からV4.2.7までのバージョン
- FileZen V5.0.0からV5.0.2までのバージョン
FileZenの提供元であるソリトンシステムズは2021年3月に脆弱性に対応したファームウェアの提供開始を予定しているほか、ファームウェアの提供が開始される前に速やかに対策手順を実施することを呼びかけている。
呼びかけられている回避策は次のとおり。
- 初期管理者アカウントadminを無効化する。
- システム管理者アカウントのIDおよびパスワードを変更する。
- システム管理者アカウントに対してインターネットからのログインができないように設定する。
-
【重要】FileZen設定内容確認のお願い ｜ サポートからのお知らせ ｜ サポート ｜ ソリトンシステムズ
脆弱性はCVSSv3スコアが9.1で、緊急に分類されていう。該当する製品を使用している場合、迅速に回避策を適用するとともに、ファームウェアのアップデートが提供された場合は、確認を行ったうえで適用することが望まれる。
