コニカミノルタ製の複合機における Pass-Back攻撃の脆弱性について

2025年6月30日
コニカミノルタ株式会社
コニカミノルタジャパン株式会社

お客様各位
平素はコニカミノルタ製品をご愛用いただき、誠にありがとうございます。
対象の製品にセキュリティ脆弱性が存在することが判明しました。問題の概要、ならびに対応方法についてご説明いたします。なお、本件脆弱性を悪用したセキュリティー被害は、グローバル全体で確認されておりません。

脆弱性概要

参照識別番号	CVSSv3.1基本評価 (Rapid7)	スコア	脆弱性内容
CVE-2025-6081	CVSS:3.1 / AV:N / AC:L / PR:H / UI:N / S:C / C:H / I:N / A:N	6.8	デバイスに設定された外部サービスの認証情報が漏えいする可能性がある。

製品名	対象バージョン
bizhub C751i bizhub C651i/C551i/C451i bizhub C361i/C301i/C251i bizhub C4051i/C4001i bizhub C3321i bizhub 751i bizhub 651i/551i/451i bizhub 361i/301i bizhub 4051i bizhub C750i bizhub C650i/C550i/C450i bizhub C450iS/C360iS/C300iS/C250iS bizhub C360i/C300i/C250i bizhub C287i bizhub C4050i/C4000i bizhub C3320i bizhub 750i bizhub 650i/550i/450i bizhub 360i/300i bizhub 4050i	すべてのバージョン
bizhub C759/C659 bizhub C658/C558/C458 bizhub C368/C308/C258 bizhub C287/C227 bizhub C3851 bizhub 758/658e/558e/458e bizhub 368e/308e bizhub 287/227 bizhub 558/458/368/308 bizhub 4052	すべてのバージョン

製品に設定されたLDAP、SMTP、FTP、SMB、WebDAV接続などの認証情報を取得できる可能性があります。

以下の回避策の実施を推奨いたします。

1.管理者パスワードがデフォルト設定のままの場合は、推測されにくいパスワードに変更する。

2.登録宛先の変更を管理者のみに制限する。

3.Active Directoryなどのシステムで高い権限を持ったアカウントを複合機に登録しない。

今回の脆弱性も含め、一般的なセキュリティーリスクを低減するため、各種セキュリティー設定のもとでご利用いただきますよう、お願いいたします。

コニカミノルタは製品・サービスのセキュリティー対応を重要な責務と捉え、インシデントや脆弱性への対応に、今後も積極的に取り組んでまいります。

本脆弱性を発見して報告いただいたRapid7のDeral Heiland氏、セキュリティー研究者のVladislav Volozhenko氏に感謝申し上げます。

お問い合わせにつきましては、当該機器の保守サービス実施店へご用命願います。