YANO's digital garage

UPnPライブラリに脆弱性というアラート。

クイック設定Web

NV13-003: SDK for UPnPにバッファオーバーフローの脆弱性に書かれてあるように、Aterm WR8750Nも含まれる。「対処版ファームウェアは2013年4月頃に提供予定」だそうだ。

ちなみに、影響を受けるのはメディアサーバ機能でありUSB接続機器の共有を諦めて「メディアサーバ機能を無効」にすれば良いらしい。WAN側からの攻撃では発生しないそうだし、現象としては「製品が再起動される可能性がある」程度らしいので、それならメディアサーバ機能は有効にしててもいいような気がするのだが、乗っ取られる可能性が無いと受け取って良いかどうかは微妙だな。ルーターで言うところのUPnP機能についても触れていないし、取り敢えずUPnP機能も無効にしておくのが賢明か。

ソニーのAVアンプも引っかかるそうだが、マランツやDENONもネットワーク対応アンプを出しているし、OPPO BDP-95も大丈夫かな？

【参照】
●INTERNET Watch http://dc.watch.impress.co.jp/
┣UPnPのオープンソースライブラリに脆弱性、数千万台に影響 2013年1月30日
┗UPnPライブラリの脆弱性、ソニーのAVアンプなどにも影響 2013年1月31日
●ITmedia ニュース http://www.itmedia.co.jp/news/
┗「UPnP」に脆弱性見つかる、ルータなど数千万台に影響 2013年1月30日
●Japan Vulnerability Notes http://jvn.jp/
┗JVNVU#90348117: Portable SDK for UPnP にバッファオーバーフローの脆弱性 2013年1月30日
●Vulnerability Notes http://www.kb.cert.org/vuls/
┗Vulnerability Note VU#922681 - Portable SDK for UPnP Devices (libupnp) contains multiple buffer overflows in SSDP 2013年1月30日
●JPCERT コーディネーションセンター https://www.jpcert.or.jp/
┗Portable SDK for UPnP の脆弱性に関する注意喚起 2013年1月31日
●AtermStation http://121ware.com/product/atermstation/
┗Aterm製品におけるメディアサーバ機能のUPnPのセキュリティ向上のための対処方法について 2013年1月31日
●NEC製品セキュリティ情報 http://jpn.nec.com/security-info/
┗NV13-003: SDK for UPnPにバッファオーバーフローの脆弱性 2013年1月31日
●ソニー http://www.sony.jp/
┗マルチチャンネルインテグレートアンプ「TA-DA5700ES」本体ソフトウェアアップデートに関するお知らせ 2013年1月30日