JVNVU#94098767
Schneider Electric 製 C-Bus Toolkit における複数の脆弱性

Schneider Electric 社が提供する C-Bus Toolkit には、複数の脆弱性が存在します。

• C-Bus Toolkit v1.15.7 およびそれ以前

Schneider Electric 社が提供する C-Bus Toolkit には、次の複数の脆弱性が存在します。

• 不適切な特権管理 (CWE-269) - CVE-2021-22716

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.8

• パストラバーサル (CWE-22) - CVE-2021-22717

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

• パストラバーサル (CWE-22) - CVE-2021-22718

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• パストラバーサル (CWE-22) - CVE-2021-22719

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

• パストラバーサル (CWE-22) - CVE-2021-22720

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

  基本値: 6.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 非特権のユーザがファイルを変更することによって、任意のコードを実行される - CVE-2021-22716
• 構成ファイルの処理の不備により、遠隔の第三者によって、任意のコードを実行される - CVE-2021-22717
• プロジェクトファイル復元処理の不備により、遠隔の第三者によって、任意のコードを実行される - CVE-2021-22718
• ファイルアップロード処理の不備により、遠隔の第三者によって、任意のコードを実行される - CVE-2021-22719
• プロジェクト復元の処理の不備により、遠隔の第三者によって、任意のコードを実行される - CVE-2021-22720

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、脆弱性を修正した次のバージョンをリリースしています。

• C-Bus Toolkit v1.15.8