JVNVU#93129111
Trane製サーモスタットにおけるインジェクションの脆弱性

Traneが提供する複数のサーモスタットには、インジェクションの脆弱性が存在します。

• Trane Technologies XL824 Thermostat ファームウェアバージョン 5.9.8およびそれ以前
• ​Trane Technologies XL850 Thermostat ファームウェアバージョン 5.9.8およびそれ以前
• ​Trane Technologies XL1050 Thermostat ファームウェアバージョン 5.9.8およびそれ以前
• ​Trane Technologies Pivot Thermostat ファームウェアバージョン 1.8およびそれ以前

Traneが提供する複数のサーモスタットには、次の脆弱性が存在します。

• インジェクション (CWE-74) - CVE-2023-4212

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 当該機器でUSBスティックを利用可能な第三者が細工したファイル名を使うことによって、root権限で任意のコマンドを実行される

パッチを適用する
開発者は、パッチを提供しています。当該機器がインターネットに接続されるとファームウェアバージョンが確認され、新しいファームウェアが利用可能な場合、自動でダウンロードとインストールが行われるとのことです。

詳細は、開発者およびICS Advisoryが提供する情報をご確認ください。