JVNVU#91915618: ICONICS 製 GENESIS64 および GENESIS32 に複数の脆弱性

ICONICS が提供する GENESIS64 および GENESIS 32 には、複数の脆弱性が存在します。

GenBroker64、 Platform Services、Workbench、FrameWorX Server の v10.96 およびそれ以前を使用する次の製品が影響を受けます。

GenBroker32 v9.5 およびそれ以前を使用する次の製品が影響を受けます。

GENESIS64 および GENESIS32 は ICONICS が提供する産業用ソフトウエアです。GENESIS64 および GENESIS32 には次の複数の脆弱性が存在します。

メモリ境界外書き込み(CWE-787) - CVE-2020-12011

CVSS v3 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 8.1
信頼できないデータのデシリアライゼーション (CWE-502) - CVE-2020-12015、CVE-2020-12009、 CVE-2020-12007

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
コードインジェクション (CWE-94) - CVE-2020-12013

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L 基本値: 9.4

想定される影響は脆弱性によって異なりますが、次のような影響を受けるおそれがあります。

遠隔の第三者によって、GENESIS64 GenBroker64 または、GENESIS32 GenBroker32 に細工したパケットを送信され、サービス運用妨害 (DoS) 状態を引き起こされる、または任意のコードを実行される - CVE-2020-12011
遠隔の第三者によって、GENESIS64 Platform Services に細工されたパケットを送信され、サービス運用妨害 (DoS) 状態を引き起こされる - CVE-2020-12015
遠隔の第三者によって、GENESIS64 Workbench Pack-and-Go 機能に細工されたパケットを送信され、サービス運用妨害 (DoS) 状態を引き起こされる - CVE-2020-12009
遠隔の第三者によって、GENESIS64 FrameWorX Server に細工された WCF クライアントを接続され、GridWorX64 の機能を使用して任意の SQL コマンドが実行される - CVE-2020-12013
遠隔の第三者によって、GENESIS64 FrameWorX Server に細工されたパケットを送信され、サービス運用妨害 (DoS) 状態を引き起こされる - CVE-2020-12007