JVNDB-2020-009594

複数の Sensormatic Electronics 製品に不適切な認可処理の脆弱性

Sensormatic Electronics 社が提供する American Dynamics victor Web Client は、American Dynamics 社のビデオ管理システムである victor にアクセスするためのソフトウェアです。また、Software House C CURE Web Client は、Software House 社の入退室管理システム C CURE を Web ブラウザー経由で監視、管理するためのソフトウェアです。
American Dynamics victor Web Client および Software House C CURE Web Client には、不適切な認可処理の脆弱性 (CWE-285) が存在します。

ジョンソンコントロールズ

• American Dynamics victor Web Client v5.6 およびそれ以前
• Software House C CURE Client v2.90 およびそれ以前

※C CURE 9000 v2.90 で導入された新しい Web ベースの C CURE 9000 クライアントは影響を受けません。

隣接するネットワーク上の第三者が、独自の JSON Web トークンを作成して署名し、それを使用することによって、認証、認可を必要とせずに HTTP API メソッドを実行する可能性があります。結果として、特定の状況下でサービス運用妨害 (DoS) を引き起こす可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。

　* American Dynamics victor Unified Client v5.6 SP1
　* Software House C CURE Web Client v2.70 以上にアップデートし、下記をインストールする
　　* C CURE Web v2.70：WebClient_c2.70_5.2_Update02 をインストールする
　　* C CURE Web v2.80：WebClient_c2.80_v5.4.1_Update04 をインストールする
　　* C CURE Web v2.90：CCureWeb_2.90_Update01 をインストールする

ジョンソンコントロールズ

• Security Advisory : Product Security Advisories: JCI-PSA-2020-10

1. 不適切な認可(CWE-285) [IPA評価]

1. CVE-2020-9049

1. JVN : JVNVU#94180712
2. National Vulnerability Database (NVD) : CVE-2020-9049
3. ICS-CERT ADVISORY : ICSA-20-324-01
4. 関連文書 : victor Web Client
5. 関連文書 : C CURE Web

• [2020年11月19日]
    掲載