JVN（Japan Vulnerability Notes）は、富士フイルムビジネスイノベーション製およびシャープ製の複合機（MFP）に、パストラバーサルの脆弱性があると公表した。本脆弱性の深刻度は、JVN iPediaでCVSS 4.9（Medium）と評価されている。攻撃者により本来想定されていないファイルへアクセスされる可能性があるため、該当機器の確認と対策が必要だ。
脆弱性の詳細
JVN（Japan Vulnerability Notes）によると、本件はパストラバーサル（想定したフォルダ以外の場所にあるファイルやディレクトリへアクセス可能となる問題）の脆弱性である。攻撃者が細工した要求を送ることで、機器上の本来アクセスできないファイルに不正にアクセスされる可能性がある。保存された情報や設定情報などが漏えいするおそれがあるが、公開情報から確認できる具体的な影響範囲の詳細は現時点で不明である。
本脆弱性のJVN iPedia登録番号はJVNDB-2026-036180で、CVSS v3の基本値は4.9（Medium）とされている。CVE番号については、参照した公開情報から明確に確認できないため、詳細は現時点で不明である。
攻撃経路や認証要件などのCVSS評価ベクトルの詳細は、参照した公開情報から確認できない。したがって、インターネットから直接到達できる構成に限らず、社内ネットワークなど攻撃者が機器へ通信可能な環境では、該当機器を確認し、ベンダーが案内する対策を適用する必要がある。
影響を受ける製品・バージョン
- 富士フイルムビジネスイノベーション製 複合機（MFP）：同社が公表した影響製品・バージョン。具体的な機種およびバージョンは、富士フイルムビジネスイノベーションの製品セキュリティ情報で確認する必要がある。
- シャープ製 複合機（MFP）：同社が公表した影響製品・バージョン。具体的な機種およびバージョンは、シャープの製品セキュリティアドバイザリで確認する必要がある。
参照したJVN iPediaの概要情報からは、影響を受ける全機種・バージョンの一覧を確認できない。自社の設置機器について、本体型番、ファームウェアバージョン、地域向けモデル、オプション機能の有無を確認し、各ベンダーが公表した対象製品欄と照合する必要がある。
推奨される対策
- ベンダーが提供する修正版（ファームウェア／ソフトウェア）を適用：富士フイルムビジネスイノベーションまたはシャープが案内する対象製品向けの修正版や対策情報を確認し、該当機器を更新する。具体的な修正版のバージョンは、ベンダーの最新情報を確認する必要がある。
- 管理画面・各種サービスの公開範囲を点検：複合機の管理用インターフェースや関連サービスが、不要に広いネットワークへ公開されていないか見直す。更新までの間は、ファイアウォールなどで不要な通信を制限する。
- 不要な機能の無効化：利用していない外部連携、リモート管理、ファイル共有などの機能がある場合は、運用要件を確認したうえで停止する。
- ログの確認と監視：更新前後に、管理ログ、アクセスログ、ネットワーク通信ログを確認し、不審なアクセスや設定変更の痕跡がないか調査する。
日本の中小企業が今すぐ取るべき行動
- 資産の洗い出し：拠点ごとの複合機について、メーカー、型番、設置場所、管理者、IPアドレス、ファームウェアバージョンを棚卸しし、富士フイルムビジネスイノベーション製またはシャープ製の対象機器がないか確認する。
- 現行バージョンの把握：管理画面、機器本体の設定情報、保守レポートなどでファームウェアのバージョンを確認し、ベンダーが公表した影響範囲と照合する。
- 更新計画の確定：印刷、スキャン、ファクスなどへの業務影響と停止時間を見積もり、保守会社またはベンダーに更新方法と作業手順を確認する。
- ネットワーク到達性の最小化：管理画面や関連サービスへのアクセス元を必要な管理端末や管理ネットワークに限定し、インターネットから直接アクセスできない構成にする。
- 更新後の確認：印刷、スキャン、送信、ファクスなどの業務機能が正常に動作すること、設定が意図せず変更されていないこと、更新後のバージョンが適用済みであることを確認する。
CSRIからの現場アドバイス
複合機やプリンターなどの周辺機器は、サーバーやPCに比べて資産管理や更新管理の対象から漏れやすい。今回のようなパストラバーサルの脆弱性では、機器が保持する文書、宛先情報、設定情報などが影響を受ける可能性があるため、複合機を単なる出力機器ではなく、ネットワーク接続された情報システムとして管理する必要がある。
パストラバーサルは、利用者に公開する予定のフォルダを経由して、本来公開されていない別の場所にあるファイルへ到達できてしまう問題である。具体的にどのファイルが読み取られるか、また設定変更などが可能かについては、参照した公開情報から詳細を確認できない。
まず複合機のメーカー、型番、ファームウェアバージョンを確認し、富士フイルムビジネスイノベーションまたはシャープが示す影響範囲と照合する。該当する場合は、ベンダーまたは保守会社に修正版の有無、作業手順、停止時間を確認し、可能な限り早期に適用する。更新までの間は、管理画面や関連サービスへのネットワーク到達性を必要最小限に制限し、不審なアクセスや設定変更がないかログを確認する。