複数のリコーのプリンタと複製機に脆弱性、アップデートを

JPCERT/CCは2月25日、脆弱性対策情報ポータルサイト「Japan Vulnerability Notes」(JVN)において、複数のリコー製プリンタおよび複合機に複数のバッファオーバーフローの脆弱性が存在すると注意を呼び掛けた。

脆弱性を抱えている製品とそのファームウェアのバージョンは以下の通り。

RICOH SP C250SFL・RICOH SP C251SF：ファームウェア ver.1.13より前のバージョン
RICOH SP C250L・RICOH SP C251：ファームウェア ver.1.07より前のバージョン
RICOH P C301SF：ファームウェア ver.1.02より前のバージョン
RICOH P C301：ファームウェア ver.1.02より前のバージョン
RICOH SP 3700SF・RICOH SP 2300SFL：ファームウェア ver.1.07より前のバージョン
RICOH SP 3700・RICOH SP 2300L：ファームウェア ver.1.07より前のバージョン
RICOH SP C260SFL・RICOH SP C261SF：ファームウェア ver.1.15より前のバージョン
RICOH SP C260L・RICOH SP C261：ファームウェア ver.1.12より前のバージョン
RICOH SP 2200SFL：ファームウェア ver.1.20より前のバージョン
RICOH SP 2200L：ファームウェア ver.1.13より前のバージョン
RICOH SP 2100L：ファームウェア ver.1.13より前のバージョン
IPSiO SP 3510SF：ファームウェア ver.2.16より前のバージョン
IPSiO SP 3510：ファームウェア ver.2.13より前のバージョン
IPSiO SP C241SF・IPSiO SP C230SFL：ファームウェア ver.1.18より前のバージョン
IPSiO SP C241・IPSiO SP C230L：ファームウェア ver.1.08より前のバージョン IPSiO SP 3410SF：ファームウェア ver.2.13より前のバージョン IPSiO SP 3410・IPSiO SP 3410L：ファームウェア ver.2.10より前のバージョン IPSiO SP C301SF：ファームウェア ver.1.32より前のバージョン IPSiO SP C221SF・IPSiO SP C221SFL：ファームウェア ver.1.72より前のバージョン

バッファオーバーフローを引き起こす脆弱性は、以下の通り。

HTTP クッキーヘッダ解析処理におけるバッファオーバーフロー (CWE-119) - CVE-2019-14300
Wifi、mDNS、POP3、SMTP および警告の設定を行う際の HTTP パラメータ解析処理におけるバッファオーバーフロー (CWE-119) - CVE-2019-14305
SNMP 設定を行う際の HTTP パラメータ解析処理におけるバッファオーバーフロー (CWE-119) - CVE-2019-14307
LPD パケット解析処理におけるバッファオーバーフロー (CWE-119) - CVE-2019-14308

なお、プリンタには情報漏洩、アクセス制限不備、クロスサイトリクエストフォージェリ、認証不備の脆弱性も含まれている。

リコーからは脆弱性を修正するファームウェアがリリースされているので、同社が提供する情報をもとに、ファームウェアをバージョンアップすることが推奨される。