JVNVU#94938731
Secheron製SEPCOSにおける複数の脆弱性

Secheronが提供するSEPCOSには、複数の脆弱性が存在します。

• SEPCOS シングルパッケージファームウェア (機能レベル1.23.xx) 1.23.21より前のすべてのバージョン
• SEPCOS シングルパッケージファームウェア (機能レベル1.24.xx) 1.24.8より前のすべてのバージョン
• SEPCOS シングルパッケージファームウェア (機能レベル1.25.xx) 1.25.3より前のすべてのバージョン

Secheronが提供するSEPCOSは、鉄道システム用の電気制御および保護装置です。SEPCOSには、次の複数の脆弱性が存在します。

• 不適切な動作ワークフローの実施 (CWE-841) - CVE-2022-2105、CVE-2022-1667、CVE-2022-2102
• 不十分なパスワード強度 (CWE-521) - CVE-2022-1668
• 不適切なアクセス制御 (CWE-284) - CVE-2022-2103
• 不適切な権限管理 (CWE-269) - CVE-2022-2104
• 認証情報の不十分な保護 (CWE-522) - CVE-2022-1666

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、安全性に影響のあるパラメータが変更される - CVE-2022-2105
• 遠隔の第三者によって、クライアント側のJavaScriptコントロールをバイパスされる - CVE-2022-1667
• 遠隔の第三者によって、任意のファイルをアップロードされる - CVE-2022-2102
• 遠隔の第三者によって、SSHのTCPポートを介して、OSのスーパーユーザ特権を取得される - CVE-2022-1668
• 遠隔の第三者によって、FTPのTCPポートを介して、機密ファイルを読み取ったり、リモートで実行可能なディレクトリに書き込んだりされる - CVE-2022-2103
• 遠隔のユーザによって、Webサーバーのアカウント（www-data）を利用され/bin/shや/bin/bashなどのコマンドをパスワードなしのsudoで実行される - CVE-2022-2104
• 遠隔のユーザによって、ベンダー用rootアカウントのパスワードをクラックされる - CVE-2022-2103

アップデートする
開発者は、アップデートを提供しています。

ワークアラウンドを実施する
開発者は、リスクを軽減するためのワークアラウンドを提供しています。

詳細は、開発者が提供する情報をご確認ください。