JVN（Japan Vulnerability Notes）は、LenovoのLenovo Dock Managerにおいて、パスワードの弱い暗号の使用に関する脆弱性があると公表した。内部セキュリティ評価の際に当該製品の問題が判明しており、パスワードなどの認証情報の保護が不十分となり、情報漏えいにつながるおそれがある。
脆弱性の詳細
JVN（Japan Vulnerability Notes）によると、Lenovo Dock Managerには、パスワードの弱い暗号の使用に関する脆弱性が存在する。攻撃者が当該製品の保存データや通信・ログなどを入手できる状況では、保護が不十分なパスワード情報から認証情報が推測・再利用される可能性がある。結果として、ドック管理に関わる設定や管理操作の不正利用、関連システムへの侵入の足がかりとなるおそれがある。
本件のCVE番号およびCVSSスコアは、JVN（Japan Vulnerability Notes）の当該アドバイザリに記載された内容に従って確認し、社内の脆弱性管理台帳にも同一の情報として登録することが推奨される。攻撃ベクタ（攻撃に必要な条件）や影響範囲の判断は、アドバイザリに記載の評価・前提条件に沿って行う必要がある。なお、Lenovoのセキュリティアドバイザリでも、当該脆弱性が内部セキュリティ評価により判明したことや、影響を受けるバージョンおよび修正バージョンが示されている。詳細な数値情報（CVE番号、CVSSスコアなど）は、JVNおよびベンダーの公式情報を参照して確認する必要がある。
影響を受ける製品・バージョン
- Lenovo Dock Manager（JVN（Japan Vulnerability Notes）およびLenovoのセキュリティアドバイザリに記載の影響を受けるバージョン。影響バージョンや修正済みバージョンの具体的な番号は公式情報に基づき確認することが必要であり、詳細は現時点で不明。）
推奨される対策
- ベンダーが提供する修正版・更新版の適用：JVN（Japan Vulnerability Notes）が案内するベンダー情報およびLenovoの製品セキュリティ情報に従い、Lenovo Dock Managerを修正済みバージョンへ更新する。
- 影響範囲の把握：社内PCにLenovo Dock Managerが導入されている端末、ドッキングステーション管理に利用している端末を洗い出し、対象端末を特定する。
- 認証情報の取り扱い見直し：更新作業に併せて、当該製品で使用するパスワードを再設定し、使い回しがある場合は他システムも含めて変更を検討する。
- ログ・設定の確認：管理操作履歴や関連ログを確認し、不審な変更や想定外の管理操作がないかを点検する。
日本の中小企業が今すぐ取るべき行動
- 最優先：導入有無の確認：社内端末にLenovo Dock Managerが入っているか、インベントリ（資産管理）やアプリ一覧で確認する。
- 対象端末の特定と更新計画：影響を受けるバージョンに該当する端末を特定し、業務影響が小さい時間帯で更新作業を計画する。
- 更新後の動作確認：ドックの接続・管理機能が業務上必要な端末から順に、更新後の利用可否を確認する。
- パスワード運用の緊急点検：管理用途のパスワードの使い回し有無、共有アカウントの有無を棚卸しし、必要に応じて変更・個別化する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、端末内に保存された認証情報や設定ファイルが弱い方式で保護されているケースが見つかりがちです。診断報告書でよく指摘されるのが「管理系ツールの更新漏れ」と「パスワード使い回し」で、影響が端末単体に留まらず横展開につながります。
例えるなら、金庫に入れているつもりの鍵が“簡単な暗号”で包まれているようなものです。つまり、ファイルや情報を入手されると、鍵（パスワード）を開けられてしまう可能性があります。だから今すぐ更新し、同じ鍵を他の扉で使っていないか点検が必要です。
まず社内PCのアプリ一覧でLenovo Dock Managerの有無とバージョンを確認し、該当端末をリスト化します。次に担当者（または保守ベンダー）に更新作業を依頼し、更新後に管理機能の動作確認を実施します。併せて管理用パスワードの変更と使い回しの解消を進めてください。