公開日:2022/10/26 最終更新日:2022/11/11

JVNVU#91874962
複数のDelta Electronics製品における複数の脆弱性

概要

Delta Electronicsが提供する複数の製品には、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2022-41701、CVE-2022-40965、CVE-2022-41555、CVE-2022-41702、CVE-2022-41651、CVE-2022-40967、CVE-2022-41133、CVE-2022-41773、CVE-2022-41775、CVE-2022-43447、CVE-2022-43506、CVE-2022-43457、CVE-2022-43452

  • DIAEnergie v1.9.01.002 より前のバージョン
  • DIAEnergie v1.9.02.001 より前のバージョン
CVE-2022-41778、CVE-2022-38142、CVE-2022-41779、CVE-2022-41657、CVE-2022-41772、CVE-2022-40202、CVE-2022-41688、CVE-2022-41644、CVE-2022-41776、CVE-2022-41629
  • InfraSuite Device Master 00.00.01a およびそれ以前のバージョン

詳細情報

Delta Electronicsが提供する複数の製品には、次の複数の脆弱性が存在します。

  • 格納型クロスサイトスクリプティング (CWE-79) - CVE-2022-41701、CVE-2022-40965、CVE-2022-41555、CVE-2022-41702、CVE-2022-41651
  • SQLインジェクション (CWE-89) - CVE-2022-40967、CVE-2022-41133、CVE-2022-41773、CVE-2022-41775、CVE-2022-43447、CVE-2022-43506、CVE-2022-43457、CVE-2022-43452
  • 信頼できないデータのデシリアライゼーション (CWE-502) - CVE-2022-41778、CVE-2022-38142、CVE-2022-41779
  • パストラバーサル (CWE-22) - CVE-2022-41657、CVE-2022-41772
  • 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-40202、CVE-2022-41688、CVE-2022-41644、CVE-2022-41776、CVE-2022-41629

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

  • 遠隔のユーザによって、当該製品のAPIを介して任意のスクリプトを実行される - CVE-2022-41701、CVE-2022-40965、CVE-2022-41555、CVE-2022-41702、CVE-2022-41651
  • 遠隔のユーザによって任意のSQLクエリを挿入され、データベース内のデータを窃取されたり、変更されたりする - CVE-2022-40967、CVE-2022-41133、CVE-2022-41773、CVE-2022-41775、CVE-2022-43447、CVE-2022-43506、CVE-2022-43457、CVE-2022-43452
  • 遠隔の第三者によって、悪意あるシリアライゼーションしたオブジェクトを提供され、任意のコードが実行される - CVE-2022-41778、CVE-2022-38142
  • 当該製品が遠隔の第三者によって制御されたサーバに接続すると、細工されたパケットを送信され、コードを実行される - CVE-2022-41779
  • 遠隔の第三者によって、任意で作成されたファイルをAPIで使用され、コードが実行される - CVE-2022-41657
  • 遠隔の第三者によって、細工されたZIPアーカイブを処理させられ、コードが実行される - CVE-2022-41772
  • 遠隔の第三者によって、バックアップスケジューリング機能のオペコードをアクティブにされ、コードを実行される - CVE-2022-40202
  • 遠隔の第三者によって、ユーザグループを作成および変更する機能を実行され、新しいユーザを作成して管理者グループに追加される - CVE-2022-41688
  • 遠隔のユーザによって、グループ権限を変更する機能を使用され、サービス運用妨害(DoS)状態にされたり、権限を昇格されたりする - CVE-2022-41644
  • 遠隔の第三者によって、ユーザ構成ファイルに値を挿入され、管理パスワードを変更される - CVE-2022-41776
  • 遠隔の第三者によって、「RunningConfigs」ディレクトリから任意のファイルを窃取され、「UserListInfo.xml」などの構成ファイルの表示や変更が行われて既存の管理パスワードを窃取される - CVE-2022-41629

対策方法

DIAEnergie
開発者に問い合わせる
本脆弱性の対策に関しては、開発者のサポート窓口にお問い合わせください。

InfraSuite Device Master
アップデートする
開発者は、アップデートを提供しています。

ワークアラウンドを実施する
開発者は、CISAのワークアラウンドの適用も推奨しています。

詳細は、開発者およびCISAが提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
Delta Electronics Delta MCIS Software Center

参考情報

  1. ICS Advisory (ICSA-22-298-06)
    Delta Electronics DIAEnergie
  2. ICS Advisory (ICSA-22-298-07)
    Delta Electronics InfraSuite Device Master

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2022/10/27
[影響を受けるシステム]、[詳細情報]、[想定される影響]の誤記を修正しました
2022/11/11
[影響を受けるシステム]、[詳細情報]、[想定される影響]を更新しました