JVNDB-2021-002265
|
Advantech 製 WebAccess/SCADA における複数の脆弱性
|
|
Advantech 社が提供する WebAccess/SCADA は、ブラウザベースの SCADA ソフトウェアパッケージです。WebAccess/SCADA には、次の複数の脆弱性が存在します。
* クロスサイトスクリプティング (CWE-79) - CVE-2021-22676
* 相対的パストラバーサル (CWE-23) - CVE-2021-22674
* スタックベースのバッファオーバーフロー (CWE-121) - CVE-2021-32943
|
|
CVSS v3 による深刻度
基本値: 9.8 (緊急) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.5 (危険) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): 部分的
※上記は、CVE-2021-32943の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2021-22676の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
※上記は、CVE-2021-22674の評価になります。
|
|
|
アドバンテック株式会社
- WebAccess/SCADA 8.4.5 より前のバージョン (V8.4系)
- WebAccess/SCADA 9.0.1 より前のバージョン (V9.0系)
|
|
|
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
* 遠隔の第三者によって細工された JavaScript コードを送信されると、cookie/ セッショントークンをハイジャックされたり、悪意のあるウェブサイトにリダイレクトされたり、ウェブブラウザ上で意図しない操作をさせられる - CVE-2021-22676
* 遠隔の第三者によって、認証無しで当該製品のファイルやディレクトリにアクセスされる - CVE-2021-22674
* 遠隔の第三者によって、任意のコードを実行される - CVE-2021-32943
|
|
[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は本脆弱性の対策として次のバージョンをリリースしています。
* WebAccess/SCADA V8.4系：Version 8.4.5
* WebAccess/SCADA V9.0系：Version 9.0.1
|
|
アドバンテック株式会社
|
|
- スタックベースのバッファオーバーフロー(CWE-121) [その他]
- 相対パストラバーサル(CWE-23) [その他]
- クロスサイトスクリプティング(CWE-79) [その他]
|
|
- CVE-2021-22676
- CVE-2021-22674
- CVE-2021-32943
|
|
- JVN : JVNVU#92588420
- National Vulnerability Database (NVD) : CVE-2021-22674
- National Vulnerability Database (NVD) : CVE-2021-22676
- National Vulnerability Database (NVD) : CVE-2021-32943
- ICS-CERT ADVISORY : ICSA-21-217-04
|
|
|
