結論
Suprema BioStar 2の特定のバージョンにおいて、認証されていないリモート攻撃者によるサービス拒否（DoS）攻撃が可能です。影響を受けるシステムを使用している場合は、早急に対策を講じる必要があります。
この記事の要点
- Suprema BioStar 2のバージョン2.9.8、2.9.10、2.9.11に影響。
- 認証不要でリモートからの攻撃が可能。
- HTTP POSTリクエストによるDoS攻撃が発生。
- システムがオフラインになる可能性がある。
- サードパーティの統合にも影響を及ぼす可能性。
脆弱性の概要
Suprema BioStar 2のバージョン2.9.8、2.9.10、2.9.11において、未処理の例外が発生し、認証されていないリモート攻撃者がHTTP POSTリクエストを’/api/migration’エンドポイントに送信することでサービス拒否（DoS）を引き起こす可能性があります。このリクエストは、重要なプロセスを停止させ、サービスやサーバーが手動で再起動されるまでシステムがオフラインの状態になります。その結果、アクセス制御リーダーが機能しなくなり、サードパーティの統合において潜在的な障害が発生する可能性があります。悪用には特権やユーザーの操作が不要であり、自動化も容易なため、可用性への影響は大きく、相互接続されたシステムにも影響が及ぶ可能性があります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-9509 |
| 公開日 | 2026-05-29T13:16:24.120000Z |
| 対象システム | Suprema BioStar 2 バージョン2.9.8、2.9.10、2.9.11 |
| 脆弱性の種類 | サービス拒否（DoS） |
| CVSSスコア | 8.7 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているSuprema BioStar 2のバージョンを確認する。
- 影響を受けるバージョンを使用している場合は、サービスを手動で再起動する準備をする。
- ベンダーからの公式なパッチやアップデート情報を確認する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-9509
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-9509
- cve-coordination@incibe.es：https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-supremas-biostar
対象システムと影響範囲
Suprema BioStar 2のバージョン2.9.8、2.9.10、2.9.11を使用しているシステムが影響を受けます。
被害内容
この脆弱性が悪用されると、システムがオフラインになり、アクセス制御リーダーが機能しなくなります。また、サードパーティの統合においても障害が発生する可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからの公式なパッチやアップデートが提供されるまで、影響を受けるシステムの使用を控えることを推奨します。
FAQ
Q1. どの製品が影響を受けますか？
Suprema BioStar 2のバージョン2.9.8、2.9.10、2.9.11が影響を受けます。
Q2. まず何をすればよいですか？
使用しているバージョンを確認し、影響を受ける場合はサービスを手動で再起動する準備をしてください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント