#968 複数のセイコーエプソン製プリンタの Web Config にスタックベースのバッファオーバーフローの脆弱性

今回は、独立行政法人情報処理推進機構IPAなどが発表した、複数のセイコーエプソン製プリンタに見つかった脆弱性について取り上げます。特に「Web Config」という設定画面に潜む「スタックベースのバッファオーバーフロー」という専門的な言葉が出てきますが、これがどのようなリスクをもたらし、どのように対処すべきかを分かりやすく解説していきますので、ぜひ最後までお付き合いください。皆さんの身近な機器を守るためのヒントが得られるはずです。

IPAとJPCERTCCは、セイコーエプソン製の複数のプリンタ製品に導入されているWeb Configに、スタックベースのバッファオーバーフローの脆弱性が存在すると発表しました。この脆弱性、CVE-2025-66635が悪用されると、Web Configにログインしたユーザーが意図的に細工した入力を処理することで、プリンタ上で任意のコードを実行される危険性があります。対策としては、メーカーが提供する最新版のファームウェアにアップデートすることが強く推奨されています。また、対策ファームウェアの提供がない製品については、ワークアラウンドと呼ばれる代替策の適用が推奨されています。

Web Configというのは、セイコーエプソンさんのプリンタに搭載されている、ウェブブラウザを使ってプリンタの設定を確認したり変更したりするためのソフトウェアのことです。例えば、ネットワーク設定の変更やインク残量の確認など、通常は本体の操作パネルで行うような設定を、パソコンのブラウザからリモートで行える便利な機能なんですよ。この機能があることで、離れた場所からでもプリンタを管理しやすくなります。

スタックベースのバッファオーバーフローは、プログラムがデータを処理する際に、あらかじめ確保されたメモリ領域、特にスタックと呼ばれる場所に、許容量を超えるデータを無理やり書き込もうとすることで発生する脆弱性です。これにより、隣接する別のデータが上書きされたり、プログラムの実行フローが意図せず変更されたりする可能性があります。攻撃者はこの挙動を利用して、悪意のあるコードを送り込み、プリンタを乗っ取ろうとするわけです。

これは攻撃者がプリンタに対して、本来意図されていない命令を自由に実行させられる状態を指します。もし攻撃者が任意のコードを実行できるようになると、プリンタの動作を完全に制御したり、プリンタが接続されているネットワーク内部に侵入するための足がかりにしたりする恐れがあります。例えば、プリンタから機密情報を盗み出したり、不正な印刷をさせたりといった被害が考えられますので、非常に危険な状態と言えるでしょう。

対策の第一歩として、お使いのプリンタのファームウェアを最新版にアップデートすることが強く推奨されています。ファームウェアとは、プリンタを制御する基本的なソフトウェアのことです。通常、メーカーのウェブサイトからダウンロードし、指示に従って適用することで最新の状態にできます。ただし、一部の古い製品では対策ファームウェアが提供されない場合もありますので、その場合は代替策、つまりワークアラウンドの適用を検討する必要があります。

ワークアラウンドとは、直接的な修正プログラムがない場合に、別の方法で脆弱性の影響を回避するための暫定的な対策のことです。このケースでは、プリンタのWeb Configへのアクセスを制限したり、特定のネットワークからのみアクセスできるように設定したりすることが考えられます。具体的には、ファイアウォールでWeb Configへの通信を遮断したり、プリンタを隔離されたネットワークに接続したりするなど、メーカーが提供する情報を参考に適切な設定を行うことが大切です。