脆弱性および影響の説明：
CVE-2026-102298： Omada Controller MSPにおける不十分な認可処理およびユーザー境界の検証不備に関する脆弱性
Omada ControllerのMSPモードにおいて、ユーザー確認用のAPIが必要な権限チェックを適切に実施していない脆弱性が存在します。認証済みのユーザーが任意のIdentifierパラメーターを指定することで、別のアカウントの認証情報を検証できるほか、存在しないユーザー、パスワードの誤り、認証の成功を区別できる応答を取得することが可能です。
この脆弱性が悪用された場合、ユーザーアカウントの列挙や認証情報の検証が可能となり、MSPリソースへの不正アクセスや、標的となったアカウントの侵害につながるおそれがあります。
CVSS v4.0 スコア：7.5 / 高
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
影響を受ける製品・バージョンと修正情報：
|
製品名 |
修正済みバージョン |
|
Omada Software Controller for Windows |
6.3.0.45 |
推奨される対策：
影響を受ける製品をご利用のお客様には、以下の対策を実施することを強く推奨します。
- 影響を受ける製品を、本脆弱性が修正された最新バージョンにアップデートしてください。
JP： Omadaソフトウェアコントローラーのダウンロード | Omada Networkサポート
免責事項：
本セキュリティアドバイザリは情報提供のみを目的としており、予告なく内容が変更される場合があります。本情報は現状有姿で提供され、明示または黙示を問わず、いかなる保証も行いません。TP-Linkは、お客様に対し、提供されているファームウェアのアップデートを速やかに適用するか、本アドバイザリに記載された回避策を実施することを推奨します。記載されたアップデートや対策が実施されていない機器・システムは、引き続き脆弱性の影響を受ける可能性があります。TP-Linkは、これらのアップデートや対策を実施しなかったことに起因する損害や損失について、一切の責任を負いません。
