公開日:2022/10/26 最終更新日:2022/10/26

JVNVU#98146300
CKS製CEVASにおけるクロスサイトスクリプティングの脆弱性

概要

CKS社が提供するCEVASには、クロスサイトスクリプティングの脆弱性が存在します。

影響を受けるシステム

  • CEVAS 1.01.46より前のすべてのバージョン

詳細情報

Johnson Controls社の子会社であるCKS社が提供するCEVASは、救助と緊急サービス向けのWebベースの請求と報告のためのソリューションです。
CEVASには、次の脆弱性が存在します。

  • クロスサイトスクリプティング (CWE-79) - CVE-2021-36206

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、認証を回避されたり、特別に細工したSQLクエリを用いてデータを窃取されたりする

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
詳細は、開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
Johnson Controls JCI-PSA-2022-15(PDF)

参考情報

  1. ICS Advisory (ICSA-22-298-05)
    Johnson Controls CKS CEVAS

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia