JVNVU#94912830
三菱電機製省エネデータ収集サーバ（EcoServerIII）および検針コントローラのWeb機能における複数の脆弱性

三菱電機製省エネデータ収集サーバ（EcoServerIII）および検針コントローラのWeb機能には、複数のOSS（オープンソースソフトウエア）に起因する複数の脆弱性が存在します。

• 省エネデータ収集サーバ（EcoServerIII）
  • MES3-255B 3.0.0から3.3.0まで
  • MES3-255B-DM 3.0.0から3.3.0まで
  • MES3-255C 3.0.0から3.3.0まで
  • MES3-255C-DM 3.0.0から3.3.0まで
• 検針コントローラ
  • B-AM500LN 2.0.0から2.2.0まで
  • B-AM1000LN 2.0.0から2.2.0まで
  • B-AM100SN 2.0.0から2.2.0まで
  • B-AM300SN 2.0.0から2.2.0まで
  • B-AM500SN 2.0.0から2.2.0まで

三菱電機株式会社が提供する省エネデータ収集サーバ（EcoServerIII）および検針コントローラのWeb機能には、複数のOSS（オープンソースソフトウエア）に起因する次の複数の脆弱性が存在します。

• クロスサイトスクリプティング（CWE-79）- CVE-2016-10735

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2018-14040

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2018-14042

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2018-20676

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2019-8331

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2020-11022

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• クロスサイトスクリプティング（CWE-79）- CVE-2020-11023

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  基本値: 6.1

• リソースの枯渇（CWE-400）- CVE-2017-18214

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 動的に決定されたオブジェクト属性の不適切に制御された変更（CWE-915）- CVE-2020-7746

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 遠隔の第三者によって、情報が漏えいしたり、改ざんされたりする - CVE-2016-10735、CVE-2018-14040、CVE-2018-14042、CVE-2018-20676、CVE-2019-8331、CVE-2020-11022、CVE-2020-11023
• 遠隔の第三者によって、サービス運用妨害（DoS）状態にされる - CVE-2017-18214、CVE-2020-7746

アップデートする
開発者が提供する情報をもとに対策済みバージョンにアップデートしてください。

• 省エネデータ収集サーバ（EcoServerIII）
  • MES3-255B 3.3.1およびそれ以降
  • MES3-255B-DM 3.3.1およびそれ以降
  • MES3-255C 3.3.1およびそれ以降
  • MES3-255C-DM 3.3.1およびそれ以降
• 検針コントローラ
  • B-AM500LN 2.2.1およびそれ以降
  • B-AM1000LN 2.2.1およびそれ以降

• 検針コントローラ
  • B-AM100SN
  • B-AM300SN
  • B-AM500SN

• 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用し、不正アクセスを防止する
• LAN内で使用し、信頼できないネットワークやホストからのアクセスを制限する