お知らせ

弊社複合機におけるセキュリティ脆弱性について

2024年5月31日

平素は、シャープのデジタル複合機をご愛用いただき、誠にありがとうございます。

この度、弊社が製造しました一部のデジタル複合機に関しまして、複数のセキュリティ上の脆弱性が存在することがわかりました。脆弱性の概要、対象製品につきましては、下記の表をご覧ください。

当該製品をご愛用いただいておりますお客様に多大なご迷惑をおかけしますことを深くお詫び申し上げます。

脆弱性識別番号 JVNVU#93051062 / CVE IDは下記「詳細情報」をご覧ください。
該当する製品名およびバージョン 下記の別表をご覧ください。
詳細情報
  • CVE-2024-28038: 複合機内部のWebサーバーにおいてスタックベースのバッファオーバーフローを引き起こすページが存在する
  • CVE-2024-28955: 複合機の一部の機密情報を含んだファイルに対する権限設定が不適切であったため、別の脆弱性を利用することで参照可能となる
  • CVE-2024-29146: 複合機の一部の機密情報が平文として保存されており、別の脆弱性を利用することで閲覧可能となる
  • CVE-2024-29978: 複合機の一部の機密情報が平文として保存されており、別の脆弱性を利用することで閲覧可能となる
  • CVE-2024-32151: 複合機の一部の機密情報が、別の脆弱性を利用することで復号可能となる
  • CVE-2024-33605: 複合機内部のWebサーバーにおいてパストラバーサル実行可能なページが存在する
  • CVE-2024-33610: 複合機のWebページにおいてアクセス権が適切でないページが存在する
  • CVE-2024-33616: 複合機の一部の機能を実行する際に、不適切な資格情報で認証を回避され、情報の参照が可能となっている
  • CVE-2024-34162: 複合機内部のWebサーバーにおいて保存されている資格情報を意図せず送信してしまうページが存在する ※既にデバイスを侵害して特権を得ている攻撃者によって利用される可能性がある。
  • CVE-2024-35244: 複合機の一部の機能を実行するための資格情報がハードコーディングされているため、不適切に資格情報を知り得た攻撃者により悪用されるおそれがある
  • CVE-2024-36248: 外部サイトへアクセスするための資格情報がハードコーディングされているため、不適切に資格情報を知り得た攻撃者により悪用されるおそれがある
  • CVE-2024-36249: 複合機内部のWebサーバーにおいてクロスサイトスクリプティング実行可能なページが存在する
  • CVE-2024-36251: 複合機内部のWebサーバーにおいて領域外のメモリ参照を引き起こし、ハングアップを発生させるおそれがある
  • CVE-2024-36254: 複合機内部のWebサーバーにおいて領域外のメモリ参照を引き起こし、ハングアップを発生させるおそれがある
攻撃が行われる条件 本脆弱性を利用した外部からの攻撃が成立するためには、
  • ● 攻撃者が対象の複合機にネットワーク経由で接続可能であること
  • ● 攻撃者がユーザーによる通常の操作では知り得ない情報を知っていること
が条件となります。上記以外のケース(外部からのネットワーク接続が適切に保護されている状態等)においては、本脆弱性によるネットワークからの攻撃の影響はありません。
発生しうる影響
  • ① 悪意のある攻撃者により、複合機ファームウェア上で任意のコードが実行されるおそれがあります。
  • ② 悪意のある攻撃者により、複合機内のファイルが閲覧可能となり、プログラム中の情報を参照されるおそれがあります。
  • ③ 悪意のある攻撃者により、複合機の一部の情報に対し意図しない権限でアクセスが可能となります。
  • ④ 悪意のある攻撃者により、複合機のWebページにおいてクロスサイトスクリプティングが実行されるおそれがあります。
  • ⑤ 悪意のある攻撃者により、複合機のWebページへのHTTPリクエストを改ざんすることで複合機をハングアップさせられるおそれがあります。
  • (注) 一部機種では対象外となるものがあります。詳しくは、「対象機種と対応状況」をご参照ください。
回避策 お客様がお使いの環境においては、本脆弱性の利用を含む、複合機に対しての外部からの攻撃の可能性を低減するために、
早急に以下の対策をお願いします。
  • ● 複合機をインターネットに直接接続せず、ファイアウォールやルーター等で保護されたネットワーク内で使用する。
  • ● パスワードにより複合機のWebページへのアクセスを制限する(本設定は工場出荷値で有効になっています)
  • ● 複合機の管理者パスワードを工場出荷時の初期値から変更し、適切に管理する。
上記対策を講じることで、外部の悪意のある第三者により対象の複合機に攻撃が行われ、複合機を起動不能にする、複合機内の情報を漏えいする、などの被害を受けるリスクを低減することができます。

ご参考: シャープ デジタル複合機 インターネットからの不正アクセス防止のための対策手順書
https://jp.sharp/business/print/solution/security/state1.html#setupGuide
対応方法 下記「対象機種と対応状況」をご覧ください。
表1の対策ファームウェアを提供可能な機種につき、ご用命のお客様は、お手数ですが製品をお買い上げの販売店、またはお客様ご相談窓口までご相談ください。
表2の機種につきましては、すべてのファームウェアバージョンが影響を受けますが、ファームウェアのサポートを終了しております。上記回避策を実行いただくか、製品のご利用停止や後継機種への移行をご検討いただきますようお願いいたします。

お客様ご相談窓口:
シャープマーケティングジャパン株式会社 ビジネスソリューション社、沖縄シャープ電機株式会社
https://jp.sharp/business/print/contact/index-support.html
謝辞 本脆弱性は、下記の方々からのご報告により発見されました。ご報告に対し、謹んで感謝申し上げます。
  • Pierre Barre氏 (CVE-2024-28038, CVE-2024-28955, CVE-2024-29146, CVE-2024-29978, CVE-2024-32151, CVE-2024-33605, CVE-2024-33610, CVE-2024-33616, CVE-2024-34162, CVE-2024-35244, CVE-2024-36248, CVE-2024-36251, CVE-2024-36254)
  • Pontus Hassen氏　security researcher at Omegapoint（https://omegapoint.se) (CVE-2024-33610)
  • Morgan Davies 氏 of Cyber Security Specialists (https://www.cybersecurityspecialists.co.uk/) (CVE-2024-36249)
  • Damien BOLUS氏 – Torii Security (CVE-2024-36249)
  • Jarrod Stebick氏 (CVE-2024-36251, CVE-2024-36254)
情報 JVNVU#93051062:
シャープ製および東芝テック製の複合機(MFP)における複数の脆弱性
CVE:

■対象機種と対応状況

表1: 対策ファームウェアは、下表の機種について提供可能です。

種別 機種名 影響を受けるファームウェアバージョン(注)
※ファームウェアバージョンの上2～4桁目をご確認ください。
デジタルフルカラー複合機

BP-70C65/BP-70C55/BP-70C45/BP-70C26/
BP-60C36/BP-60C31/BP-60C26/
BP-50C65/BP-50C55/BP-50C45/
BP-40C36/BP-40C26
(「発生しうる影響」②は対象外)

 “310”以前
MX-8081 “150”以前

MX-6171/MX-5171/MX-4171/
MX-3661/MX-3161/MX-2661/
MX-6151/MX-5151/MX-4151/
MX-3631/MX-2631
(「発生しうる影響」②は対象外)

“612”以前
BP-30C25 “123”以前

MX-6170FN/MX-5170FN/MX-4170FN/
MX-6170FV/MX-5170FV/MX-4170FV

 “801”以前

MX-6150FN/MX-5150FN/MX-4150FN/
MX-3650FN/MX-3150FN/MX-2650FN/
MX-6150FV/MX-5150FV/MX-4150FV/
MX-3650FV/MX-3150FV/MX-2650FV/
MX-3630FN/MX-2630FN

 “801”以前
MX-3117FN/MX-2517FN
(「発生しうる影響」②④は対象外)		 “202”以前
MX-2020F
(「発生しうる影響」②④は対象外)		 “202”以前
MX-C306W/MX-C305W “512”以前
デジタル複合機(モノクロ) BP-70M90/BP-70M75
(「発生しうる影響」②は対象外) 		“303”以前
BP-70M65/BP-70M55/BP-70M45
(「発生しうる影響」②は対象外) 		“310”以前
MX-M1206/MX-M1056 “113”以前
MX-M7570/MX-M6570 “455”以前
MX-M6071/MX-M5071/MX-M4071/
MX-M3531
(「発生しうる影響」②は対象外) 		“412"以前
BP-30M35/BP-30M31/BP-30M28/
BP-30M31L		 “211”以前
MX-M6070/MX-M5070/MX-M4070 “502”以前
MX-B455W “404”以前

(注) ファームウェアバージョンの確認方法は以下の通りです。管理者でのログインが必要となります。

  • ● 複合機の操作パネルからの場合、ホーム画面から「設定」アイコンを押す。
    お使いのパソコンから複合機にネットワーク接続する場合、お使いのWebブラウザで複合機のデバイスWebページにアクセスする。
  • ● [ステータス]タブを押す。
    [ファームウェアバージョン]を押す。
  • ●「BUNDLE」の後に表示された16桁の英数字(2つの8桁の英数字がアンダーバー”_”で連結されています)がファームウェアバージョンです。(例: 0510Z200_22040400)

表2: 以下の機種につきましては、ファームウェアのサポートを終了しております。上記回避策を実行いただくか、製品のご利用停止や後継機種への移行をご検討いただきますようお願いいたします。

種別 機種名
デジタルフルカラー複合機

MX-6540FN
(「発生しうる影響」②⑤は対象外)

MX-5141FN/MX-5140FN/MX-4141FN/MX-4140FN
(「発生しうる影響」②は対象外)

MX-3640FN/MX-3140FN/MX-2640FN
(「発生しうる影響」②⑤は対象外)

MX-5111FN/MX-5110FN/MX-4111FN/MX-4110FN
(「発生しうる影響」②⑤は対象外)

MX-3610FN/MX-3110FN/MX-2610FN
(「発生しうる影響」②⑤は対象外)

MX-C302W
(「発生しうる影響」②④⑤は対象外)

MX-3611F/MX-3111F/MX-2312F/MX-2310F
(「発生しうる影響」②④⑤は対象外)

MX-C381FX/MX-C381/MX-C312/MX-C310FX/MX-C310/
MX-C380P/DX-C310P/MX-C312SC
(「発生しうる影響」②④⑤は対象外)

MX-5001FN/MX-5000FN/MX-4101FN/MX-4100FN/MX-3600FN
(「発生しうる影響」②④⑤は対象外)

MX-3100FN/MX-3100FG/MX-2600FN/MX-2600FG
(「発生しうる影響」②④⑤は対象外)

MX-3112FN/MX-2311FN
(「発生しうる影響」②④⑤は対象外)

MX-2301FN
(「発生しうる影響」②④⑤は対象外)
デジタル複合機(モノクロ) MX-M1204/MX-M1054/MX-M904
(「発生しうる影響」②⑤は対象外)
MX-M754FN/MX-M654FN
(「発生しうる影響」②は対象外)
MX-M565FN/MX-M465FN/MX-M365FN
(「発生しうる影響」②は対象外)
MX-M564FN/MX-M464FN
(「発生しうる影響」②④⑤は対象外)
MX-M356FP/MX-M316FP/MX-M266FP/MX-M316G/
MX-M356FV/MX-M316FV/MX-M266FV/MX-M316GV
(「発生しうる影響」②④⑤は対象外)
MX-M354FP/MX-M314FP/MX-M264FP
(「発生しうる影響」②④⑤は対象外)
MX-B382/MX-B382P/MX-B382SC
(「発生しうる影響」②④⑤は対象外)
MX-M753/MX-M623
(「発生しうる影響」②④⑤は対象外)
MX-M503N/MX-M363N/MX-M283N/
MX-M503F/MX-M423F/MX-M363F
(「発生しうる影響」②④⑤は対象外)
ページのトップへ戻る