エクシングCPTrans-ME-Xにおける複数の脆弱性

概要

株式会社エクシングが提供するCPTrans-ME-Xには、複数の脆弱性が存在します。

影響を受ける製品

• エクシング CPTrans-ME-X ファームウェア Ver 1.8.1.17より前のバージョン

想定される影響・悪用状況

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 認証認証：アクセスしてきた相手が名乗っている通りの本人であることを確認する仕組み。詳しく見る →なしにOSコマンドインジェクションが行われる
• 認証なしにシステムに関する情報が取得される
• 当該認証情報を知っている第三者にログインされる

深刻度

次のような脆弱性が確認されています。

• OSコマンドインジェクション（CWE-78） – CVSS基本値 9.3
• 認可されていない相手への機微なシステム情報の漏えい（CWE-497） – CVSS基本値 8.7
• デフォルトパスワードの使用（CWE-1393） – CVSS基本値 9.3
• ハードコードされたパスワードの使用（CWE-259） – CVSS基本値 9.3

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
本JVN公表時点において、本件への対応として以下のような更新を適用したファームウェアアップデートが提供されています。

• 初期設定において管理ポートは無効
• 当該機器にログインした際に使用できるコマンドは管理作業に必要な最低限のもののみに制限

開発者によると、2026年4月に、FOTA（Firmware Over-The-Air）による該当製品へのアップデートを実施したとのことです。