JVNDB-2019-006675
|
三菱電機製 FR Configurator2 に複数の脆弱性
|
|
三菱電機株式会社が提供する FR Configurator2 には、次の複数の脆弱性が存在します。
* XML 外部実体参照 (XXE) (CWE-611) - CVE-2019-10976
* リソースの枯渇 (CWE-400) - CVE-2019-10972
|
|
CVSS v3 による深刻度
基本値: 7.1 (重要) [JPCERT/CC値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 6.6 (警告) [JPCERT/CC値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 全面的
- 完全性への影響(I): なし
- 可用性への影響(A): 全面的
※上記は、CVE-2019-10976の評価になります。
|
CVSS v3 による深刻度
基本値:
5.5 (警告) [JPCERT/CC値]
-
攻撃元区分: ローカル
-
攻撃条件の複雑さ: 低
-
攻撃に必要な特権レベル: 不要
-
利用者の関与: 要
-
影響の想定範囲: 変更なし
-
機密性への影響(C): なし
-
完全性への影響(I): なし
-
可用性への影響(A): 高
CVSS v2 による深刻度基本値:
4.9 (警告)
[JPCERT/CC値]
-
攻撃元区分: ローカル
-
攻撃条件の複雑さ: 低
-
攻撃前の認証要否: 不要
-
機密性への影響(C): なし
-
完全性への影響(I): なし
-
可用性への影響(A): 全面的
※上記は、CVE-2019-10972の評価になります。
|
|
|
三菱電機
- FR Configurator2 Version 1.16S およびそれ以前のバージョン
|
|
|
想定される影響は各脆弱性により異なりますが、攻撃者によって細工されたプロジェクトファイルを開くことで、次のような影響を受ける可能性があります。
* ユーザ権限でアクセス可能な任意のファイルが外部に送信される - CVE-2019-10976
* アプリケーションが応答しなくなる - CVE-2019-10972
|
|
[アップデートする]
開発者が提供する情報をもとに、FR Configurator2 Version 1.17T 以降にアップデートしてください。
|
|
三菱電機
|
|
- リソースの枯渇(CWE-400) [JPCERT/CC評価]
- XML 外部エンティティ参照の不適切な制限(CWE-611) [JPCERT/CC評価]
|
|
- CVE-2019-10976
- CVE-2019-10972
|
|
- JVN : JVNVU#93149757
- National Vulnerability Database (NVD) : CVE-2019-10976
- National Vulnerability Database (NVD) : CVE-2019-10972
- ICS-CERT ADVISORY : ICSA-19-204-01
|
|
|
