#908 ブラザーおよびその OEM ベンダーが提供する複数製品、初期設定における管理者パスワードがシリアル番号から容易に導出可能

今回の話題はネットワーク対応機器の初期設定に関する脆弱性です。製品のシリアル番号から管理者の初期パスワードが推測できる問題が報告されました。リスナーの皆さんには脆弱性の危険性と具体的な確認方法、すぐに取るべき対策を分かりやすく伝えます。業務で使う複合機やプリンタを安全に運用するための実務的なポイントもお話しします。

今回の脆弱性は複合機やプリンタなどの管理者アカウントの初期パスワードが製品固有のシリアル番号から推測可能である点にあります。runZeroという調査者が製品開発者に報告し、IPAとJPCERT/CCがJVNで注意喚起しました。影響を受ける機種の一覧やバージョンはメーカーの告知ページに掲載されています。問題が放置されるとシリアル番号さえ知っていれば第三者に管理者権限で機器を操作される恐れがあり、設定の改変や機密情報の閲覧などにつながりかねません。JVNがまず呼びかけている対策は初期管理者パスワードを直ちに変更することです。それに加えてファームウェアの更新状況を確認し、管理インターフェースへのアクセス制限やネットワーク分離を行うことが推奨されます。

機器のシリアル番号の形式と一定のアルゴリズムを組み合わせると初期パスワードが算出できる状態を指します。製造時に機器ごとにユニークに振られるシリアル番号が公開情報であることが多いため、外部からその番号を取得すればログインに使える初期パスワードが分かってしまいます。初期パスワードのまま運用すると攻撃者は管理者権限で各種設定を変更したり、機器に保存されたデータを閲覧したりできるリスクがあります。

影響範囲は該当メーカーの複数モデルに及びます。記事ではブラザーとそのOEMベンダー、さらに関連するメーカーの告知が示されており、業務用複合機や一部プリンタが対象です。具体的なモデルとバージョンは各社の告知に記載されているため、運用している機器がリストに含まれるかをまず確認する必要があります。影響を放置すると社内ネットワークに接続された機器群が狙われる可能性が高く、機密文書や印刷履歴、ネットワーク設定の改ざんによる二次被害も懸念されます。

まずは現場で使っている機器の型番とファームウェアのバージョンを一覧にまとめてください。次に各メーカーの告知ページにある影響範囲のリストと照合します。リストに該当する場合は初期パスワードが変更されているかを確認し、もし変更されていなければ直ちに強力なパスワードへ更新します。さらに管理インターフェースへのリモートアクセスを不要であれば無効化し、必要な場合はアクセス元を限定することが重要です。

パスワード変更に加えてファームウェアの最新版を適用することが重要です。最新の修正がある場合は脆弱性そのものが改善される可能性があります。また管理インターフェースをVLANなどで分離し、管理用ネットワークからしか操作できないようにしてください。機器のログを定期的に確認し不審なアクセスがないか監視することと、可能であれば二要素認証や証明書ベースの認証を導入することでリスクをさらに下げられます。

今回の件が示す教訓は初期設定の安全性を前提にしてはいけないという点です。導入時に初期パスワードを必ず変更する運用ルールを定めてチェックリストに組み込み、資産管理台帳に初期設定の確認結果を残すことが重要です。機器のライフサイクル全体でファームウェア管理と脆弱性情報の収集を行う仕組みを作り、ベンダーのセキュリティ通知を定期的に確認する運用を整備してください。