JVNVU#91250818
Eaton 製 Intelligent Power Manager に複数の脆弱性

Eaton が提供する Intelligent Power Manager には、複数の脆弱性が存在します。

• Intelligent Power Manager v1.67 およびそれ以前

Intelligent Power Manager は Eaton Corporation Inc. が提供する産業用電源管理ソフトウェアプラットフォームです。Intelligent Power Manager には次の複数の脆弱性が存在します。

• 不適切な入力確認 (CWE-20) - CVE-2020-6651

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

• 不適切な権限設定 (CWE-266) - CVE-2020-6652

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 設定ファイルをインポートする際の検証処理の不備に起因して、遠隔の第三者によって不正なコマンドやコードを実行される - CVE-2020-6651
• 権限を持たない第三者によって不正な設定ファイルをアップロードされ、設定を改ざんされる - CVE-2020-6652

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
本脆弱性を修正した Intelligent Power Manager v1.68 がリリースされています。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• 4679/tcp、4679/udp および 4680/tcp、4680/udp ポートへのアクセスを制限する