コンテック製SolarView Compactに複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月8日、コンテック製SolarView Compactにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ゼロゼロワンの早川宙也氏が報告を行っている。影響を受けるシステムは以下の通り。

・SolarView Compact
SV-CPT-MC310 Ver.8.10より前のバージョン
SV-CPT-MC310F Ver.8.10より前のバージョン

株式会社コンテックが提供する太陽光発電計測監視装置 SolarView Compact には、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・ハードコードされた認証情報の使用（CVE-2023-27512）
→非公開の管理者アカウントでログインされ、当該製品上で任意の操作を実行される

・ダウンロード画面におけるOSコマンドインジェクション（CVE-2023-27514）
→当該製品上でOSコマンドを実行される

・複数の設定画面におけるバッファオバーフロー（CVE-2023-27518）
→当該製品上でバッファオーバーフローが発生し任意のコードを実行される

・メール送信設定画面におけるOSコマンドインジェクション（CVE-2023-27521）
→当該製品上でOSコマンドを実行される

・システム日時設定画面におけるアクセス制御の不備（CVE-2023-27920）
→当該製品のユーザ権限でアクセスされ、システム日時を変更される

　JVNでは、開発者が提供する情報をもとに、ソフトウェア（ファームウェア）を最新版にアップデートするよう呼びかけている。本脆弱性は下記のファームウェアバージョンで修正されている。

・SolarView Compact
SV-CPT-MC310 Ver.8.10およびそれ以降のバージョン
SV-CPT-MC310F Ver.8.10およびそれ以降のバージョン