JVNVU#90770748
Wibu-Systems AG 製 CodeMeter に複数の脆弱性

Wibu-Systems AG 社 が提供する CodeMeter には、複数の脆弱性が存在します。

• CodeMeter Runtime すべてのバージョン

• 不適切な値長の指定によるバッファアクセス (CWE-805) - CVE-2020-14509

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 10.0

• 不適切な暗号強度 (CWE-326) - CVE-2020-14517

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H

  基本値: 9.4

• 同一生成元ポリシー違反 (CWE-346) - CVE-2020-14519

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

  基本値: 8.1

• 不適切な入力確認 (CWE-20) - CVE-2020-14513

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• デジタル署名の不適切な検証 (CWE-347) - CVE-2020-14515

  CVSS v3

  CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:H

  基本値: 7.4

• リソースの不適切なシャットダウンおよびリリース (CWE-404) - CVE-2020-16233

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、細工したパケットを送信され、任意のコード実行やソフトウェアを停止される - CVE-2020-14509
• 遠隔の第三者によって、プロトコルの暗号化を解除され、任意の CodeMeter API を実行される - CVE-2020-14517
• 遠隔の第三者によって、細工した JavaScript を用いて、内部 WebSockets API を使用され、ライセンス情報の窃取や改ざん等が行われる - CVE-2020-14519
• 遠隔の第三者によって、細工したライセンスファイルを処理させられ、ソフトウェアが停止される - CVE-2020-14513
• 遠隔の第三者によって、任意の内容のライセンスファイルを作成される - CVE-2020-14515
• 遠隔の第三者によって、細工したパケットを送信され、ヒープに含まれるデータを窃取される - CVE-2020-16233

• CodeMeter をクライアント端末としてのみ動作させる
• 内部の WebSockets API の代わりに、新規の REST API を利用する
• CodeMeter ライセンスアクセス許可機能を使用して、CodeMeter API の使用を制限する
• WebSockets API を無効化する
• AxProtector を適用する