JVN（Japan Vulnerability Notes）は、デルのSmartFabric Managerに、複数のサードパーティコンポーネントに関する脆弱性が存在すると公表した。悪用された場合、悪意のあるユーザーが影響を受けるシステムを侵害するおそれがある。
脆弱性の詳細
本件は、Dell SmartFabric Managerに含まれる複数のサードパーティコンポーネントの脆弱性である。JVNの公開情報だけでは、個別のCVE番号、脆弱性の種類、CVSSスコア、攻撃ベクタ、認証要否などの詳細は現時点で不明である。
デルのセキュリティアドバイザリでは、影響を受けるシステムが悪意のあるユーザーによって侵害される可能性があるとしている。SmartFabric Managerはネットワーク環境の管理に用いられるため、管理インタフェースの到達範囲、利用アカウントの権限、導入環境の構成を確認し、影響を受けるバージョンの使用有無を特定する必要がある。
影響を受ける製品・バージョン
- Dell SmartFabric Manager 2.1.0未満
デルは、Dell SmartFabric Manager 2.1.0以降で修正済みとしている。過去のデルアドバイザリでは、バージョン1.0.0および1.1.0が影響を受け、1.2.0以降で修正された脆弱性も公表されているため、利用中のすべての構成について最新の修正版への更新可否を確認する必要がある。
推奨される対策
- 修正版への更新：Dell SmartFabric Managerを2.1.0以降へ更新する。更新前に、デルが提供するリリースノート、適用条件、バックアップおよびロールバック手順を確認する。
- バージョンと構成の確認：稼働中のSmartFabric Managerのバージョン、導入形態、管理画面の公開範囲、利用アカウントを確認し、影響を受けるバージョンに該当するか判断する。
- アクセス制御の強化：管理インタフェースへのアクセスを業務上必要な端末および管理ネットワークに限定し、インターネットや不要なネットワークから到達できないよう制御する。
- 権限設計の見直し：最小権限の原則を適用し、不要な管理者権限や共有アカウントを削減する。
- 監視とログ確認：管理操作ログ、認証ログ、設定変更履歴を確認し、不審なログイン、設定変更、権限変更がないか点検する。
日本の中小企業が今すぐ取るべき行動
- 優先度1：SmartFabric Managerの利用有無、稼働バージョン、設置場所、管理担当者を即日で棚卸しする。
- 優先度2：現行バージョンと管理画面の公開範囲を確認し、Dell SmartFabric Manager 2.1.0未満を使用している場合は更新対象として扱う。
- 優先度3：デルが提供するSmartFabric Manager 2.1.0以降の修正版と適用手順を確認し、検証後、可能な限り速やかに更新する。
- 優先度4：更新までの暫定措置として、管理画面への到達経路を管理ネットワーク内に限定し、不要アカウントを無効化する。
- 優先度5：直近の認証ログ、管理操作ログ、設定変更履歴を確認し、不審な操作や侵害の兆候があれば、社内のインシデント対応手順に従って切り分けと報告を行う。
CSRIからの現場アドバイス
ネットワーク管理製品は、管理画面の公開範囲やアカウント権限の設計が不適切だと、脆弱性の影響を受ける範囲が拡大する。特に、共有アカウントの常用、管理インタフェースの広範な公開、更新状況の把握不足は、侵害時の原因特定や影響範囲の確認を難しくする。
例えるなら、重要な設備を管理する建物で、正面入口だけでなく関係者用の出入口も常時開放されているようなものだ。まず管理画面への到達経路を絞り、誰がどの操作を行えるかを明確にしたうえで、修正版を適用する必要がある。
まずSmartFabric Managerのバージョンと管理画面にアクセスできる端末・ネットワーク範囲を確認する。2.1.0未満を利用している場合は、担当者または保守ベンダーに更新計画と適用手順の確認を依頼し、更新までに不要アカウントの無効化、管理インタフェースのアクセス制限、管理ログの点検を実施する。
参照: デルのSmartFabric Managerにおける不十分なパーミッションまたは特権の不適切な処理に関する脆弱性