JVNVU#90283680
三菱電機製エコガイドTABにおける複数の脆弱性

三菱太陽光発電システム用モニターのエコガイドTABには、複数の脆弱性が存在します。

• PV-DR004J 全バージョン
• PV-DR004JA 全バージョン

三菱電機株式会社が提供する三菱太陽光発電システム用モニターのエコガイドTABには、次の複数の脆弱性が存在します。

• 不十分なパスワード強度（CWE-521）- CVE-2025-5022
• ハードコードされた認証情報の使用（CWE-798）- CVE-2025-5023

想定される影響は脆弱性により異なりますが、次のような可能性があります。

• 当該製品のユニット間（計測ユニット・表示ユニット間）のWi-Fi通信の通信エリア内に侵入した攻撃者によって、SSIDからパスワードを算出される（CVE-2025-5022）
• 当該製品で個別エアコン操作の機能が使用できるように設定されている場合には、本脆弱性を悪用してユニット間のWi-Fi通信に侵入した攻撃者によってECHONET Liteのコマンドが実行されることで、エアコンの運転ON/OFFや設定温度の変更等の操作をされる（CVE-2025-5022）
• ユニット間のWi-Fi通信に侵入した攻撃者によってハードコーディングされた製品シリーズ共通のユーザIDとパスワードを使用し、当該製品に保持されている発電電力や売電電力等の情報の取得、当該製品に保持または設定されている情報の改ざんや破壊、当該製品のサービス運用妨害（DoS）（CVE-2025-5023）

使用中止を検討するまたはワークアラウンドを実施する
保守サポート終了製品のため、対策版の提供はありません。
開発者は製品の使用停止、使用継続する場合は軽減策の適用を推奨しています。
なお、製品の使用停止をする場合、個別エアコン操作機能の有無によって方法が異なるとのことです。

軽減策や利用停止の詳細については、開発者が提供する情報を確認してください。