ITmedia エンタープライズ：Check Pointなど多数のベンダーのセキュリティ製品にCSRF脆弱性

Checkpoint製品 Safe@OfficeにCSRFの脆弱性が存在するそうです。高価なものとしては珍しいですねぇ。

アドバイザリーによると、ファイアウォールやVPN機能を提供するCheck PointのUTMアプライアンス「Safe@Office」に、「クロスサイトリクエストフォージェリ」（Cross Site Request Forgeries：CSRF）の脆弱性が存在する。最新バージョンの7.0.39xと、旧バージョンの5.0.82xで問題が確認されたという。

まぁログインした状態で、コマンド実行画面なりパスワード変更画面のリンクがあると無条件に実行されちゃうって感じかな。

ユーザーがCheck Point製品にログインしている状態で不正サイトを参照すると、攻撃者がWebインタフェース上でコマンドを実行することが可能になり、リモートからアクセスされる恐れもある。さらに、ログインしたユーザーが現在のパスワードを知らなくても、管理用パスワードを変更することができてしまう脆弱性もあるという。

---