Axxon Oneに初期パスワードで管理者ログインできる脆弱性
映像監視ソフトAxxon Oneの新規インストール直後の環境で、初期パスワードのまま管理者としてネットワーク越しにログインされる脆弱性が公表されました。修正版へ更新し、管理者パスワードが初期値のままでないかを確認してください。
急ぎ度: 早めに
修正版が出ており、認証なしでネットワーク越しに管理者権限を得られ、CVSS v3は8.1、CVSS v4は9.2と高い一方、公表直後で実際の悪用を示す情報はKEVにもありません。
関係があるか
WindowsまたはLinuxにAxxon Oneを導入し、Webクライアントを使っている組織が対象です。とくに、導入時の管理者パスワードを変えないまま運用している環境と、Webクライアントに外部やほかの社内セグメントから届く環境は先に確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| AxxonSoft Axxon One（Windows・Linux） | 3.0.0より前のすべての版 | 3.0.0 |
確かめ方
- 1Axxon Oneの管理画面かインストール情報で、稼働中の版が3.0.0より前でないかを確認します。
- 2組み込みの管理者アカウントのパスワードを、導入後に一度でも変更したかを、構築手順書や担当者への聞き取りで確かめます。
- 3Webクライアントに、インターネットや管理外のネットワークから到達できるかを、FWやリバースプロキシの設定で確認します。
- 4複数拠点や複数台で導入している場合は、台帳を使って全台の版と導入時期を洗い出します。
何が起きたか
Axxon Oneは、Webクライアントから、初期設定の組み込み管理者アカウントに初期パスワードのままログインできてしまう脆弱性があります。新規インストール直後のシステムが対象で、ログインされると管理者として操作されます。
Webクライアントが、初回ログイン時に必須とされているはずの初期パスワードの変更を強制していませんでした。分類はCWE-1393（初期パスワードの使用）で、CVE-2026-121022として2026年11月3日に公表されています。
AxxonSoftは3.0.0で修正しており、公表の時点で修正版が入手できます。
攻撃の流れ
-
1
到達できる環境を探す
Axxon OneのWebクライアントにネットワーク経由で届く環境を見つけます。
-
2
初期の認証情報で試す
導入時の管理者アカウントとその初期パスワードで、ログインを試みます。
-
3
管理者として入る
パスワードが変更されていなければ、変更を求められることなくログインできます。
-
4
監視基盤を操作する
管理者権限で、映像・設定・システムの状態に影響を及ぼせます。
どう悪用されるか
認証は不要で、ネットワーク経由で攻撃でき、利用者に操作させる必要もありません。対象は、新規インストールしたまま、初期の管理者パスワードが変更されていないシステムです。CVSS v3では攻撃条件の複雑さが高と評価されていますが、初期パスワードが変わっていなければ、特別な権限や手順は要らないとみられます。
悪用されると、組み込み管理者として機密性・完全性・可用性のすべてに高い影響が出ます。映像や設定の閲覧、設定の書き換え、システムの停止などが管理者権限の範囲で想定されます。
今すぐやること
-
1
Axxon Oneを修正版に更新する
Windows版もLinux版も、修正版の3.0.0以降に更新します。業務への影響が大きい監視基盤なので、検証環境で動作を確かめてから本番に適用してください。
-
2
管理者パスワードが初期値でないか確認する
更新の前に、組み込み管理者のパスワードを導入後に変更しているか確かめます。初期値のままなら、すぐに推測されにくい長いパスワードへ変更してください。
-
3
Webクライアントの公開範囲を絞る
インターネットに直接公開しているなら、公開をやめるかVPN経由に切り替えます。社内でも、管理端末など必要なネットワークからの接続に限ります。
-
4
不審なログインの跡を調べる
初期パスワードのまま運用していた期間があれば、管理者アカウントのログイン履歴で、身に覚えのない時刻や接続元がないかを確認します。
-
5
ベンダーの告知を確認する
AxxonSoftのセキュリティ告知で、影響する構成、更新時の注意、追加の対策を確認します。既存環境を更新した場合に初期パスワードがどう扱われるかも、ここで確かめてください。
すぐ更新できないとき
すぐに更新できないときは、組み込み管理者のパスワードを初期値から変更し、Webクライアントへの接続元をFWやVPNで限定します。これは修正版を当てるまでのつなぎで、更新の代わりにはなりません。
背景
Axxon Oneは、複数のカメラ映像の録画・閲覧・管理をまとめて受け持つ映像監視ソフトです。組み込み管理者を押さえられると、映像だけでなく、ユーザー管理やカメラの設定、録画の運用にまで手が届きます。
初期パスワードのまま使われる機器は、以前から攻撃の入口になってきました。Miraiと呼ばれるボットネットが、初期の認証情報のままの監視カメラなどに感染を広げた例はよく知られています。ただ、今回はそれと違い、利用者の設定漏れだけが原因ではありません。製品が初回ログイン時に変更を強制していなかったことが脆弱性として扱われている点が特徴です。
よくある質問
Q.社内ネットワークだけで使っていますが、対象になりますか。
Q.導入時にパスワードを変更済みなら、更新は不要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| AxxonSoft | Axxon One |
3.0.0 未満 |
3.0.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Use of Default Password (CWE-1393) in the web client in AxxonSoft Axxon One before 3.0.0 on Windows and Linux allows a remote unauthenticated attacker to log in as the built-in administrator with the default credentials on a newly installed system, because the web client did not enforce the mandatory change of the default password on first login.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web axxonsoft.com
- web nvd.nist.gov
- web github.com