[English]
|
JVNDB-2022-001923
|
コンテック製 SolarView Compact における複数の脆弱性
|
株式会社コンテックが提供する SolarView Compact は、太陽光発電計測監視装置です。
SolarView Compact には、次の複数の脆弱性が存在します。
OS コマンドインジェクション (CWE-78) - CVE-2022-29303
SolarView Compact で提供される Web サーバーのテストメール送信画面において、入力した値が適切に検証されないことにより、OS コマンドが実行される
ディレクトリトラバーサル (CWE-23) - CVE-2022-29298
SolarView Compact で提供される Web サーバーのダウンロード画面において、URL が適切に検証されないことにより、意図しないファイルが参照される
情報漏えい (CWE-200) - CVE-2022-29302
SolarView Compact で提供される Web サーバーには、Web サーバーのコンテンツを編集可能な非公開の画面が存在し、それを経由して Web サーバー内のファイルを読み書きされる
|
|
CVSS v3 による深刻度
基本値:8.8 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
※上記は、CVE-2022-29303 の評価になります。
|
CVSS v3 による深刻度
基本値:9.8 (緊急) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
※上記は、CVE-2022-29298 の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2022-29302 の評価になります。
|
|
株式会社コンテック
- SolarView Compact SV-CPT-MC310 Ver.6.50 より前のバージョン (CVE-2022-29298、CVE-2022-29302)
- SolarView Compact SV-CPT-MC310 Ver.7.21 より前のバージョン (CVE-2022-29303)
- SolarView Compact SV-CPT-MC310F Ver.6.50 より前のバージョン (CVE-2022-29298、CVE-2022-29302)
- SolarView Compact SV-CPT-MC310F Ver.7.21 より前のバージョン (CVE-2022-29303)
|
|
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
* 設定画面にアクセス可能なユーザーによって、任意の OS コマンドを実行される - CVE-2022-29303
* 遠隔の第三者によって、任意のファイルを窃取される - CVE-2022-29298
* 遠隔の第三者によって、Web サーバー内のファイルを閲覧されたり、改ざんされたりする - CVE-2022-29302
|
[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者は、本脆弱性を修正した次のファームウェアをリリースしています。
- SolarView Compact
- SV-CPT-MC310 Ver.7.21
- SV-CPT-MC310F Ver.7.21
[ワークアラウンドを実施する]
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
* 本製品をスタンドアロンで運用している場合は、本製品をネットワーク接続しない
* 本製品のネットワークの上流側にファイアウォールを設置する
* 本製品のネットワークアクセスを信頼できる閉域網で構成する
* 本製品の「ユーザー設定」にて「ユーザー認証範囲の設定」を「全画面を認証対象にする」で設定する
* 本製品に初期設定されている認証情報を変更する
|
株式会社コンテック
|
- OSコマンドインジェクション(CWE-78) [その他]
- 相対パストラバーサル(CWE-23) [その他]
- 情報漏えい(CWE-200) [その他]
|
- CVE-2022-29303
- CVE-2022-29298
- CVE-2022-29302
|
- JVN : JVNVU#92327282
|
- [2022年05月27日]
掲載
- [2022年06月10日]
タイトル:内容を更新
概要:内容を更新
CVSS による深刻度:内容を更新
想定される影響:内容を更新
影響を受けるシステム:内容を更新
参考情報:Common Vulnerabilities and Exposures (CVE) (CVE-2022-29298 および CVE-2022-29302) を追加
CWE による脆弱性タイプ一覧:CWE-23 および CWE-200 を追加
|