Advantech社のWebAccess/SCADAとR-SeeNetに脆弱性(JVN) | ScanNetSecurity
2021.07.24(土)

Advantech社のWebAccess/SCADAとR-SeeNetに脆弱性(JVN)

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は10月16日、複数のAdvantech社製品の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は10月16日、複数のAdvantech社製品の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

WebAccess/SCADA Version 9.0 およびそれ以前
R-SeeNet Versions 1.5.1 から 2.4.10

WebAccess/SCADAはブラウザベースのSCADAソフトウェアパッケージで、ファイル名やパス名の外部制御の脆弱性(CWE-73)が存在し、想定される影響としては遠隔の第三者がWebAccess/SCADAのWADashboardコンポーネントを利用し、ファイルシステムの操作で使用されるパスを制御または影響を与え、管理者として任意のコードを実行するおそれがある。

R-SeeNetはルーターを監視するためのアプリケーションで、ルーターの位置情報(GPS)を表示するための専用Webページ(device_position.php)には、遠隔の第三者がR-SeeNetのデータベースでSQL SELECTクエリを呼び出すことを可能とするSQLインジェクションの脆弱性(CWE-89)が存在する。想定される影響としては、遠隔の第三者によってR-SeeNetデータベースから機微な情報が窃取されるおそれがある。

JVNでは、開発者が提供する情報をもとに、それぞれ最新版にアップデートするか、R-SeeNetについては、「C:\R-SeeNet\php\device\_position.php」(Windowsの場合)、または「/usr/share/r-seenet/www/php/php/device\_position.php」(Linux の場合)を削除するよう呼びかけている。
《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×