JVNVU#97257022
Uffizio製GPS Trackerにおける複数の脆弱性

Uffizio社が提供するGPS Trackerには、複数の脆弱性が存在します。

• GPS Tracker softwareすべてのバージョン

Uffizio社が提供するGPS Trackerには、次の複数の脆弱性が存在します。

• 不適切なアクセス制御（CWE-284） - CVE-2020-17483

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• 危険なタイプのファイルの無制限アップロード（CWE-434） - CVE-2020-17485

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• オープンリダイレクト（CWE-601） - CVE-2020-17484

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

  基本値: 4.7

• クロスサイトスクリプティング（CWE-79） - CVE-2021-32927

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

  基本値: 7.1

• クロスサイトリクエストフォージェリ（CWE-352） - CVE-2021-32929

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

  基本値: 4.3

想定される影響は各脆弱性により異なりますが、遠隔の第三者によって、次のような影響を受ける可能性があります。

• GPSデバイスの情報を窃取される - CVE-2020-17483
• コマンドを実行されたり、システムファイルやローカルリソースを参照される - CVE-2020-17485
• 任意の外部ドメインにリダイレクトされる - CVE-2020-17484
• JavaScriptコードを実行される - CVE-2021-32927
• ユーザが意図しないアクションを実行させられる - CVE-2021-32929

2021年10月15日現在、本脆弱性への対策は提供されていません。詳細は、Uffizio社にお問い合わせください。

ワークアラウンドを実施する
CISAは、以下のワークアラウンドを推奨しています。

• 制御システムデバイスおよびシステムにインターネットからのアクセスを制限する
• ファイアウォールで保護している制御システムネットワークおよびリモートデバイスをビジネスネットワークから分離する
• リモートアクセスが必要な場合、VPNなどの安全な方法を利用する（VPN自体にも脆弱性が存在する可能性があるため、最新版を利用するなど安全性を確保して利用してください）