JVNVU#99583134
Wibu-Systems製CodeMeter Runtimeにおける複数の脆弱性

Wibu-Systems社が提供するCodeMeter Runtimeには、複数の脆弱性が存在します。

• CodeMeter Runtime v7.21aより前のすべてのバージョン

Wibu-Systems社が提供するCodeMeter Runtimeには、次の複数の脆弱性が存在します。

• バッファオーバーリード (CWE-126) - CVE-2021-20093

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

  基本値: 9.1

• バッファオーバーリード (CWE-126) - CVE-2021-20094

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、細工されたパケットをCodeMeter Runtimeネットワークサーバに送信され、サーバをクラッシュさせられたり、ヒープからのデータを含むパケットを送り返させられたりする - CVE-2021-20093
• 遠隔の第三者によって、細工されたパケットをCodeMeter Runtime CmWANサーバに送信され、サービス運用妨害（DoS）状態にされる - CVE-2021-20094

アップデートする
開発者が提供する情報をもとに、アップデートしてください。
開発者は本脆弱性を修正した次のバージョンをリリースしています。

•  CodeMeter Runtime v7.21a

• CVE-2021-20093
  • CodeMeterをクライアントのみで実行し、ローカルホストをCodeMeter通信のバインディングとして使用する
  • ネットワークサーバを無効にできない場合、ファイアウォールを利用してCmLANポートへのアクセスを制限する
• CVE-2021-20094
  • CmWANサーバが不要な場合は無効にする
  • ユーザ認証を使用してリバースプロキシの後ろにCmWANサーバを設置する
  • リバースプロキシのみがCmWANポートにアクセスできるようにファイアウォールを設定する