ウェブページのスナップショットから取得した脆弱性に関する主要な情報は以下の通りです： 脆弱性タイトル： - Teradek VidiU Pro 3.0.3 CSRF によるパスワード変更の悪用 基本属性： - 脆弱性番号： ZSL-2018-5460 - タイプ： ローカル/リモート - 影響： クロスサイトスクリプティング (Cross-Site Scripting) - リスクレベル： 3/5 - 公開日： 2018年5月21日 概要： - Teradek VidiU APIは、リクエストの有効性を確認するための検証処理を行わずに、HTTPリクエストを通じてユーザーが特定のコマンドを実行することを許可しています。ログイン済みのユーザーが悪意のあるサイトを訪問した場合、この脆弱性を利用して管理者権限を持つ特定的操作を実行することが可能です。 ベンダー情報： - Teradek, LLC - https://www.teradek.com 影響を受けるバージョン： - VidiU, VidiU Mini, VidiU Pro - 3.0.3 (ビルド 32136) - 3.0.2 (ビルド 32225) - 2.4.10 テスト環境： - lighttpd/1.4.48 - lighttpd/1.4.31 ベンダーの対応状況： - 2018年3月2日：脆弱性を発見 - 2018年5月8日：ベンダーに連絡 - 2018年5月8日：ベンダーから詳細情報の提供を要求される - 2018年5月8日：ベンダーに詳細情報を送信 - 2018年5月8日：ベンダーに対処状況の更新を問い合わせ - 2018年5月10日：ベンダーからの返答なし - 2018年5月13日：再度ベンダーに対処状況の更新を問い合わせ - 2018年5月14日：ベンダーからの返答なし - 2018年5月20日：再度ベンダーに対処状況の更新を問い合わせ - 2018年5月20日：ベンダーからの返答なし - 2018年5月21日：パブリックセキュリティアドバイザリを公開 概念実証コード（PoC）： - teradek_vidiu_csrf.html 謝辞： - 本脆弱性は Gjoko Krstic によって発見されました - 参考リンク： - 1 - 2 - 3 - 4 変更履歴： - 2018年5月21日：初版公開 - 2018年5月29日：参考リンク [1]、[2]、[3]、[4] を追加 連絡先情報： - Zero Science Lab - ウェブサイト：http://www.zeroscience.mk - メールアドレス：lab@zeroscience.mk