EagleEye Cube USBで認証なしに設定変更される脆弱性
HP Poly EagleEye Cube USBの1.3.1-001267に、ログインなしで管理者操作ができる脆弱性が公表されました。該当機器を洗い出し、HPの告知で修正版を確認しつつ、管理画面に届く範囲を絞ってください。
急ぎ度: 早めに
CVSS v3は9.8で認証なしにネットワークから悪用できますが、EPSSは0.207%と低く、公表から2日で、修正版の有無はHPの告知で確認する必要があります。
関係があるか
会議室やオフィスにHP Poly EagleEye Cube USBを置き、その管理機能に社内ネットワークから届く環境が対象です。資産台帳に載っていない会議室の周辺機器も含めて確認が要ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| HP Poly EagleEye Cube USB | 1.3.1-001267 | 修正版の有無と版は、HPのサポートページとPolyのドキュメントで確認が必要です。他の版が影響するかも同じ場所で確認してください。 |
確かめ方
- 1会議室機器の一覧から、EagleEye Cube USBを使っている部屋と台数を洗い出します。
- 2各機器の管理画面や機器情報で、ファームウェアの版が1.3.1-001267かどうかを確認します。
- 3機器の管理用の通信口に、どのネットワークから届くかをファイアウォールやスイッチの設定で確認します。
何が起きたか
EagleEye Cube USBの管理機能に、ログインせずに管理者向けの操作ができてしまう脆弱性が見つかりました。設定の変更に加えて、管理者の認証情報や他のネットワーク機器の認証情報を含む設定ファイルの書き出しも、ログインなしで行えます。
原因は、セッション管理とアクセス制御を機器の側で強制していないことです。ログイン画面を通っていない要求でも、機器が管理者の操作として受け付けてしまいます。分類はCWE-287（不適切な認証）です。
影響が確認されているのは1.3.1-001267で、CVSS v3は9.8です。GitHub Advisory Databaseに載ったEPSSは0.207%（11パーセンタイル）で、今のところ攻撃される確率は低い水準です。
攻撃の流れ
-
1
機器へ到達
攻撃者が、EagleEye Cube USBの管理機能に届くネットワーク上の位置に入ります。
-
2
認証を迂回
ログインの手順を通らずに、管理者向けの操作を機器へ送ります。
-
3
設定を変更
機器は要求を拒まず、管理者権限の設定変更を受け付けます。
-
4
設定を持ち出す
認証情報を含む設定ファイルが書き出され、他のネットワーク機器への足がかりになります。
どう悪用されるか
ログインは要らず、利用者に何かを操作させる必要もありません。CVSSの評価では、ネットワーク越しに低い難易度で悪用できます。攻撃者に必要なのは、機器の管理機能に通信が届く位置です。
悪用されると、機器の管理者設定が書き換えられます。設定ファイルには、機器の管理者の認証情報と、ほかのネットワーク機器の認証情報が含まれます。会議室のカメラ1台の問題にとどまらず、社内の別の機器への侵入につながる恐れがあります。
今すぐやること
-
1
該当機器を洗い出す
EagleEye Cube USBを使う会議室を一覧にし、ファームウェアの版を確認します。管理部門が把握していない設置分がないかも、現場に聞いて確認します。
-
2
HPの告知で修正版を確認して適用する
HPのサポートページとPolyのドキュメントで、修正版や回避策の案内が出ているか確認します。出ていれば検証機で動作を見たうえで更新します。案内が出ていない版は、ほかの対応を先に進めます。
-
3
管理機能に届く範囲を絞る
機器を会議用の専用セグメントに置き、管理機能への通信を管理者の端末だけに許可します。インターネット側から機器に届く経路が無いことも確認します。
-
4
設定ファイルに含まれる認証情報を変更する
不特定の端末から機器に届く状態だった場合は、機器の管理者パスワードを変更します。設定に登録されている他のネットワーク機器の認証情報も、同様に変更します。
-
5
設定が意図せず変わっていないか確認する
ネットワーク設定や管理者設定が、運用担当者の知らない値に変わっていないか確認します。見つけた場合は、他の機器への影響も調べます。
修正版がないあいだのつなぎ
修正版を当てられない間は、機器の管理機能に届くネットワークを管理者の端末に限定し、会議室機器用のセグメントを他の業務システムから分離します。機器から他のネットワーク機器の認証情報を外せる場合は、設定から外すか、権限を絞った専用アカウントに替えます。
背景
EagleEye Cube USBは、会議室でパソコンにUSBでつなぐカメラです。見た目は周辺機器ですが、機器自体が管理用のAPIとネットワークの設定を持ち、他のネットワーク機器の認証情報を設定に登録できます。そのため、サーバーのように更新管理の対象にされず、置かれたままになりやすい機器です。
今回の脆弱性は、認証をクライアント側の画面に頼り、機器側で強制していないことが原因です。管理画面が正しくログインを求めていても、機器が要求を拒まないため、画面を使わない通信が通ってしまいます。
よくある質問
Q.同時に公表されたCVE-2026-39431も確認が要りますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
On HP Poly EagleEye Cube USB 1.3.1-001267 devices, the administrator authentication flow is broken: session management and access controls are not enforced device-side. Thus, an unauthenticated user can change administrator-level settings (without logging in) via a modified client that bypasses the login step or via a custom client to make the underlying administrator API calls. This allows unauthenticated users to perform administrative actions too such as exporting configuration files that include the internal device credentials for the administrator user and other network systems.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@mitre.org
- web cve@mitre.org
- web cve@mitre.org
- web nvd.nist.gov
- web github.com