公開日：2020/08/26　最終更新日：2020/12/04

JVNVU#97347936
WECON 製 LeviStudioU に複数の脆弱性

概要

WECON が提供する LeviStudioU には複数の脆弱性が存在します。

影響を受けるシステム

  • LeviStudioU Versions 2019-09-21 およびそれ以前

詳細情報

LeviStudioU は WECON が提供する、産業用機器の HMI (Human Machine Interface) です。
LeviStudioU には、次の複数の脆弱性が存在します。
  • スタックベースのバッファオーバーフロー (CWE-121) - CVE-2019-16243
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
  • XML 外部エンティティ参照の不適切な制限 (CWE-611) - CVE-2020-25186
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N 基本値: 5.5
  • ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2020-25199
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 特別に細工されたプロジェクトファイルを開くことで、アプリケーションの権限で任意のコードを実行される - CVE-2019-16243, CVE-2020-25199
  • 遠隔の第三者によって、細工された XML を入力され、機微な情報が窃取される  - CVE-2020-25186

対策方法

2020年 12月 4日現在、対策方法はありません。

ワークアラウンドを実施する
CISA が公開している情報を参考にセキュリティ対策を実施してください。

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
ジェイティ エンジニアリング株式会社 該当製品無し 2020/09/10
ベンダ リンク
WECON Contact us

参考情報

  1. ICS Advisory (ICSA-20-238-03)
    WECON LeviStudioU (Update C)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-16243
CVE-2020-25186
CVE-2020-25199
JVN iPedia

更新履歴

2020/09/10
ジェイティ エンジニアリング株式会社のベンダステータスが更新されました
2020/10/21
ICS Advisory (ICSA-20-238-03) の更新に伴い、[タイトル]、[概要]、[詳細情報]、[想定される影響]、[対策方法]、[参考情報]、[関連文書] を更新しました
2020/12/04
ICS Advisory (ICSA-20-238-03) の更新に伴い、[詳細情報]、[想定される影響]、[対策方法]、[参考情報]、[関連文書] を更新しました