JVNVU#90408410
Sielco製PolyEco、Radio LinkおよびAnalog FM Transmitterにおける複数の脆弱性

Sielcoが提供するPolyEco、Radio LinkおよびAnalog FM Transmitterには、複数の脆弱性が存在します。

CVE-2023-0897、CVE-2023-5754、CVE-2023-46661、CVE-2023-46662、CVE-2023-46663、CVE-2023-46664、CVE-2023-46665

• PolyEco1000 CPU:2.0.6 FPGA:10.19
• PolyEco1000 CPU:1.9.4 FPGA:10.19
• PolyEco1000 CPU:1.9.3 FPGA:10.19
• PolyEco500 CPU:1.7.0 FPGA:10.16
• PolyEco300 CPU:2.0.2 FPGA:10.19
• PolyEco300 CPU:2.0.0 FPGA:10.19

• Analog FM transmitter 2.12 (EXC5000GX)
• Analog FM transmitter 2.12 (EXC120GX)
• Analog FM transmitter 2.11 (EXC300GX)
• Analog FM transmitter 2.10 (EXC1600GX)
• Analog FM transmitter 2.10 (EXC2000GX)
• Analog FM transmitter 2.08 (EXC1600GX)
• Analog FM transmitter 2.08 (EXC1000GX)
• Analog FM transmitter 2.07 (EXC3000GX)
• Analog FM transmitter 2.06 (EXC5000GX)
• Analog FM transmitter 1.7.7 (EXC30GT)
• Analog FM transmitter 1.7.4 (EXC300GT)
• Analog FM transmitter 1.7.4 (EXC100GT)
• Analog FM transmitter 1.7.4 (EXC5000GT)
• Analog FM transmitter 1.6.3 (EXC1000GT)
• Analog FM transmitter 1.5.4 (EXC120GT)
• Radio Link 2.06 (RTX19)
• Radio Link 2.05 (RTX19)
• Radio Link 2.00 (EXC19)
• Radio Link 1.60 (RTX19)
• Radio Link 1.59 (RTX19)
• Radio Link 1.55 (EXC19)

Sielcoが提供するPolyEco、Radio LinkおよびAnalog FM Transmitterには、次の複数の脆弱性が存在します。

• セッション固定 (CWE-384) - CVE-2023-0897
• 過度な認証試行の不適切な制限 (CWE-307) - CVE-2023-5754
• 不適切なアクセス制御 (CWE-284) - CVE-2023-46661、CVE-2023-46662、CVE-2023-46663、CVE-2023-46664、CVE-2023-46665、CVE-2023-42769、CVE-2023-45228
• クロスサイトリクエストフォージェリ (CWE-352) - CVE-2023-45317
• 権限昇格(CWE-267) - CVE-2023-41966

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、セッションを乗っ取られる - CVE-2023-0897、CVE-2023-42769
• 遠隔の第三者によって、システムを制御される - CVE-2023-5754
• 遠隔の第三者によって、POSTリクエストのパスワードを変更され、権限を昇格される - CVE-2023-46661
• 遠隔の第三者によって、細工したリクエストを利用して機微な情報を窃取される - CVE-2023-46662
• 遠隔の第三者によって、保護されたリソースにアクセスされる - CVE-2023-46663、CVE-2023-46664
• 遠隔の第三者によって、POSTリクエストのパスワードを変更され、当該デバイスに管理者権限でアクセスされる - CVE-2023-46665
• 遠隔の第三者によって、HTTPリクエストを利用し管理者権限で特定の操作を行われる - CVE-2023-45317
• ユーザによって、パラメータを変更したHTTP POST リクエストを利用し、ユーザー、パスワードおよび権限を操作される - CVE-2023-45228
• ユーザによって、パラメータを設定するHTTPリクエストを利用し、権限を昇格される - CVE-2023-41966

開発者に連絡する
 2023年10月30日現在、開発者によるアップデートなどの情報提供が確認できておりません。
詳細は、開発者にお問い合わせください。