【活用ガイド】

JVNDB-2008-001913

Automated Solutions Modbus Slave ActiveX Control における脆弱性

概要

Automated Solutions Modbus Slave ActiveX Control には、任意のコードを実行されたり、サービス運用妨害（DoS）攻撃を受ける脆弱性が存在します。

Automated Solutions Modbus Slave ActiveX Controlには、Modbus リクエストを適切に処理できない問題が存在します。 TippingPoint DVLabs によると、MiniHMI.exe にエラーがあるため、TCP ポート 502 番に送られた細工された Modbus リクエストを処理する際にバッファオーバフローが発生し、結果として遠隔の第三者による任意のコード実行が可能であるとされています。

本脆弱性情報は、2007年9月17日に情報公開が行なわれているものです。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 7.5 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


Automated Solutions, Inc
  • Automated Solutions Modbus Slave ActiveX Control 1.5 未満

想定される影響

遠隔の第三者によって、MiniHMI.exe を実行しているユーザの権限で任意のコードを実行されたり、サービス運用妨害（DoS）攻撃を受ける可能性があります。
対策

[アップデートする]
VU#981849 によると、Automated Solutions, Inc. は、本脆弱性を修正したアップデートを提供しています。 本脆弱性が存在する Automated Solutions Modbus Slave ActiveX Control をもとに開発を行なった OEM 開発者は、Automated Solutions, Inc. へコンタクトしてください。

[アクセスを制限する]
必要最小限のアクセスのみを許可する。
ベンダ情報

Automated Solutions, Inc
  • Automated Solutions : ReadMe
CWEによる脆弱性タイプ一覧  CWEとは?

  1. バッファエラー(CWE-119) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2007-4827
参考情報

  1. JVN : JVNVU#981849
  2. National Vulnerability Database (NVD) : CVE-2007-4827
  3. SecurityFocus : 25713
  4. ISS X-Force Database : 36677
  5. SecurityTracker : 1018707
更新履歴

  • [2008年12月02日]
      掲載

公表日2008/11/04
登録日2008/12/02
最終更新日2008/12/02