タブにアクセスした際に、システムが2つのリクエストを送信することだった。クエリが実行されるが、そのレスポンスには、データベースに保存されている全ユーザーのアカウントが含まれるという脆弱性が存在する。「この問題は、データベース・テーブルに保存されている、すべての情報が返されるため、すべてのアカウントの平文パスワードが含まれるというものだ。データを見るだけで、不正に入手できてしまう」と説明している。ベース・インターフェイスにログインし、すべての管理対象デバイスにアクセスできるようになる。リクエストに制限が掛けられない。したがって、攻撃者は制限を回避して、管理者アカウントのパスワードを変更するように細工したリクエストを送信し、変更した認証情報を用いてシステムにログインし、管理者権限を取得することが可能になる。いった、既知の脆弱性を取り込んだものがあるという。サポートチームに連絡し、特定された脆弱性を報告するための連絡先を求めたが、ベンダーは特定の連絡先を知らせることなく、ビジネスサポート・チームへのフリーダイヤルを案内したという。「このベンダーは、具体的なセキュリティ関連の連絡先を提供できず、また、この脆弱性報告に関する対応を妨げている。現時点において、ユーザーには問題を修正する手段がない。したがって、この製品をプロダクション環境で使用することは推奨できない。この製品が動作するシステムへの、信頼できないアクセスを制限することを検討してほしい」と述べている。電子メールを送り、正式な声明を求めているので、回答が届き次第、この記事を更新する。脆弱性が多発する部分です。アクセスでは制限するのが一般ですが、それを間違えることがある、という解説を何処かで読んだ記憶があります。よろしければ、以下の関連記事も、ご参照ください。