公開日:2020/08/26 最終更新日:2020/10/21

JVNVU#97347936
WECON 製 LeviStudioU に複数の脆弱性

概要

WECON が提供する LeviStudioU に複数の脆弱性が存在します。

影響を受けるシステム

  • LeviStudioU Versions 2019-09-21 およびそれ以前

詳細情報

LeviStudioU は WECON が提供する、産業用機器の HMI (Human Machine Interface) です。
LeviStudioU には、次の複数の脆弱性が存在します。
  • スタックベースのバッファオーバーフロー (CWE-121) - CVE-2019-16243
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
  • XML 外部エンティティ参照の不適切な制限(CWE-611) - CVE-2020-25186
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N 基本値: 5.5

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 特別に細工されたプロジェクトファイルを開くことで、アプリケーションの権限で任意のコードを実行される - CVE-2019-16243
  • 遠隔の第三者によって、細工された XML を入力され、機微な情報が窃取される  - CVE-2020-25186

対策方法

2020年10月21日現在、対策方法はありません。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
ジェイティ エンジニアリング株式会社 該当製品無し 2020/09/10
ベンダ リンク
WECON Contact us

参考情報

  1. ICS Advisory (ICSA-20-238-03)
    WECON LeviStudioU (Update A)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-16243
CVE-2020-25186
JVN iPedia

更新履歴

2020/09/10
ジェイティ エンジニアリング株式会社のベンダステータスが更新されました
2020/10/21
ICS Advisory (ICSA-20-238-03) の更新に伴い、 [タイトル]、[概要]、[詳細情報]、[想定される影響]、[対策方法]、[参考情報]、[関連文書] を更新しました