JVNDB-2012-003107
|
Johnson Controls Pegasys P2000 サーバにおける不正なアラートを生成される脆弱性
|
|
Johnson Controls Pegasys P2000 サーバのソフトウェアには、ログ保存とアラート通知のためのアップロード用ポート (41013/TCP) で受信したパケットの処理に問題があり、不正なアラートを生成可能な脆弱性が存在します。
本脆弱性は、CVE-2012-2607 とは異なる脆弱性です。
|
|
CVSS v2 による深刻度
基本値: 5.0 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
|
ジョンソンコントロールズ
- Johnson Controls Pegasys P2000 ソフトウェア 3.11 未満
- Johnson Controls Pegasys P2000
|
|
|
P2000 (Pegasys) サーバが細工された TCP ポート 41013 パケットを受信することで、不正なアラートが生成され、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。
|
|
ベンダ情報および参考情報を参照して適切な対策を実施してください。
Johnson Controls Information for VU#977312 には以下のように記載されています。
なお、下記は CVE-2012-2607 に該当する脆弱性の内容も含みます。
* Step 1 Upgrade of the P2000 server security application software,
to version P2000 V 3.11, P2K-SW-CORE 311. P/N 27-5618-3.
* Step 2 Upgrade of the hardware module, of the CK-721 controller,
to version CK-721A. P/N 27-5379-1044
* Step 3 Upgrade of the controller firmware, to current version.\\
SSM4388_03.1.0.14_BB
* Step 4 Activation of encryption, as per the standard documentation.
P/N 24-10618-147 Rev. A
また、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
[ワークアラウンドを実施する]
41013/TCP へのアクセスを制限する
|
|
ジョンソンコントロールズ
|
|
- 不適切な入力確認(CWE-20) [NVD評価]
|
|
- CVE-2012-4026
|
|
- JVN : JVNVU#977312
- National Vulnerability Database (NVD) : CVE-2012-4026
- US-CERT Vulnerability Note : VU#977312
- US-CERT Vulnerability Note : Johnson Controls Information for VU#977312
|
|
|
