【活用ガイド】

[English]

JVNDB-2022-001923

コンテック製 SolarView Compact における複数の脆弱性

概要

株式会社コンテックが提供する SolarView Compact は、太陽光発電計測監視装置です。
SolarView Compact には、次の複数の脆弱性が存在します。

OS コマンドインジェクション (CWE-78) - CVE-2022-29303
SolarView Compact で提供される Web サーバーのテストメール送信画面において、入力した値が適切に検証されないことにより、OS コマンドが実行される

ディレクトリトラバーサル (CWE-23) - CVE-2022-29298
SolarView Compact で提供される Web サーバーのダウンロード画面において、URL が適切に検証されないことにより、意図しないファイルが参照される

情報漏えい (CWE-200) - CVE-2022-29302
SolarView Compact で提供される Web サーバーには、Web サーバーのコンテンツを編集可能な非公開の画面が存在し、それを経由して Web サーバー内のファイルを読み書きされる

OS コマンドインジェクション (CWE-78) - CVE-2022-40881
SolarView Compact で 提供される Web サーバーのネットワーク導通チェック画面において、入力した値が適切に検証されないことにより、OS コマンドが実行される

OS コマンドインジェクション (CWE-78) - CVE-2023-23333
SolarView Compact で提供される Web サーバーのダウンロード画面において、入力した値が適切に検証されないことにより、OS コマンドが実行される

CVE-2022-29298
S2W Inc Jongheon Yan 氏が製品開発者に Ver.6.50 での本脆弱性の修正が不十分であることを直接報告しました。
これを受け製品開発者と調整し、本 JVN アドバイザリを更新しました。

CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 9.8 (緊急) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 5.0 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2022-29298 の評価になります。

CVSS v3 による深刻度
基本値:8.8 (重要) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2022-29303 の評価になります。

CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
※上記は、CVE-2022-29302 の評価になります。

CVSS v3 による深刻度
基本値:8.8 (重要) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2022-40881 の評価になります。

CVSS v3 による深刻度
基本値:8.8 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2023-23333 の評価になります。
影響を受けるシステム


株式会社コンテック
  • SolarView Compact SV-CPT-MC310 Ver.6.50 より前のバージョン (CVE-2022-29302)
  • SolarView Compact SV-CPT-MC310 Ver.7.21 より前のバージョン (CVE-2022-29303、CVE-2022-40881、CVE-2023-23333)
  • SolarView Compact SV-CPT-MC310 Ver.7.22 より前のバージョン (CVE-2022-29298)
  • SolarView Compact SV-CPT-MC310F Ver.6.50 より前のバージョン (CVE-2022-29302)
  • SolarView Compact SV-CPT-MC310F Ver.7.21 より前のバージョン (CVE-2022-29303、CVE-2022-40881、CVE-2023-23333)
  • SolarView Compact SV-CPT-MC310F Ver.7.22 より前のバージョン (CVE-2022-29298)

【2024 年 4 月 16 日 追記】
本件を 2022 年 5月 26 日に公表した時点では、CVE-2022-29298 の影響を受けるバージョンを「SV-CPT-MC310 Ver.6.50 より前のバージョン」、「SV-CPT-MC310F Ver.6.50 より前のバージョン」と記載していましたが、修正が不十分であったことが確認されたためバージョン情報を更新しました。
想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

　* 設定画面にアクセス可能なユーザーによって、任意の OS コマンドを実行される - CVE-2022-29303、CVE-2022-40881、CVE-2023-23333
　* 遠隔の第三者によって、任意のファイルを窃取される - CVE-2022-29298
　* 遠隔の第三者によって、Web サーバー内のファイルを閲覧されたり、改ざんされたりする - CVE-2022-29302
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者によると、本脆弱性は次のファームウェアバージョンで修正されているとのことです。

CVE-2022-29303、CVE-2022-40881、CVE-2023-23333、CVE-2022-29302
　* SV-CPT-MC310 Ver.7.21 およびそれ以降のバージョン
　* SV-CPT-MC310F Ver.7.21 およびそれ以降のバージョン

CVE-2022-29298
　* SV-CPT-MC310 Ver.7.22 およびそれ以降のバージョン
　* SV-CPT-MC310F Ver.7.22 およびそれ以降のバージョン

【2024 年 4 月 16 日 追記】
2024 年 4 月 16 日現在、SolarView Compact の各最新ファームウェアバージョンは Ver.8.20 です。
最新ファームウェアバージョンには本件公表後に対応した脆弱性修正も含まれています。

[ワークアラウンドを実施する]
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
　* 本製品をスタンドアロンで運用している場合は、本製品をネットワーク接続しない
　* 本製品のネットワークの上流側にファイアウォールを設置する
　* 本製品のネットワークアクセスを信頼できる閉域網で構成する
　* 本製品の「ユーザー設定」にて「ユーザー認証範囲の設定」を「全画面を認証対象にする」で設定する
　* 本製品に初期設定されている認証情報を変更する

ベンダ情報

株式会社コンテック
CWEによる脆弱性タイプ一覧  CWEとは?

  1. OSコマンドインジェクション(CWE-78) [その他]
  2. 相対パストラバーサル(CWE-23) [その他]
  3. 情報漏えい(CWE-200) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2022-29303
  2. CVE-2022-29298
  3. CVE-2022-29302
  4. CVE-2022-40881
  5. CVE-2023-23333
参考情報

  1. JVN : JVNVU#92327282
  2. National Vulnerability Database (NVD) : CVE-2022-29303
  3. National Vulnerability Database (NVD) : CVE-2022-29298
  4. National Vulnerability Database (NVD) : CVE-2022-29302
  5. National Vulnerability Database (NVD) : CVE-2022-40881
  6. National Vulnerability Database (NVD) : CVE-2023-23333
  7. CISA Known Exploited Vulnerabilities Catalog : CVE-2022-29303
更新履歴

  • [2022年05月27日]
      掲載
  • [2022年06月10日]
      タイトル：内容を更新
      概要：内容を更新
      CVSS による深刻度：内容を更新　　　
      想定される影響：内容を更新
      影響を受けるシステム：内容を更新
      共通脆弱性識別子(CVE)：CVE-2022-29298 および CVE-2022-29302 を追加
      CWE による脆弱性タイプ一覧：CWE-23 および CWE-200 を追加
  • [2022年12月15日]
      概要：内容を更新
      CVSS による深刻度：内容を更新　　　
      想定される影響：内容を更新
      対策：内容を更新
      影響を受けるシステム：内容を更新
      ベンダ情報：株式会社コンテック (SolarView Compact(SV-CPT-MC310)の脆弱性について（PDF）) のリンクを更新
      共通脆弱性識別子(CVE)：CVE-2022-40881を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2022-29303、CVE-2022-29298、CVE-2022-29302、CVE-2022-40881) を追加
  • [2023年02月13日]
      概要：内容を更新
      CVSS による深刻度：内容を更新
      想定される影響：内容を更新
      影響を受けるシステム：内容を更新
      ベンダ情報：株式会社コンテック (SolarView Compact(SV-CPT-MC310)の脆弱性について（PDF）) のリンクを更新
      共通脆弱性識別子(CVE)：CVE-2023-23333を追加
  • [2024年04月17日]
      概要：内容を更新
      影響を受けるシステム：内容を更新
      対策：内容を更新
  • [2024年06月20日]
      CVSS による深刻度：内容を更新
      参考情報：CISA Known Exploited Vulnerabilities Catalog (CVE-2022-29303) を追加

公表日2022/05/26
登録日2022/05/27
最終更新日2024/06/20