JVNVU#97613753
複数のSchneider Electric製品における複数の脆弱性

Schneider Electricが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2024-10497

• PowerLogic HDPM6000 バージョン v0.62.7

• PowerLogic HDPM6000 バージョン v0.62.7およびそれ以前

• RemoteConnect - RemoteConnect バージョン R3.4.2より前
• RemoteConnect - Security Administrator すべてのバージョン
• SCADAPack x70 Utilities - RemoteConnect バージョン R3.4.2より前
• SCADAPack x70 Utilities - Security Administrator すべてのバージョン

Schneider Electricが提供する複数の製品には、次の複数の脆弱性が存在します。

• ユーザ識別情報操作による権限チェック回避（CWE-639）
  • CVE-2024-10497
• メモリバッファ―エラー（CWE-119）
  • CVE-2024-10498
• 信頼できないデータのデシリアライゼーション（CWE-502）
  • CVE-2024-12703

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 当該製品に細工されたHTTPSリクエストを送信された場合、権限で定義された範囲外の値を変更される（CVE-2024-10497）
• 当該製品に特定のModbus書き込みパケットを送信された場合、通常の範囲外の設定値を変更され、結果として、無効なデータにされたり、Webインターフェースの機能が失われたりする（CVE-2024-10498）
• 低権限ユーザーが細工されたプロジェクトファイルを開いた場合、機密性や完全性を侵害されたり、リモートコードを実行されたりする（CVE-2024-12703）

CVE-2024-10497、CVE-2024-10498
アップデートする
開発者は、アップデートを提供しています。
ワークアラウンドを実施する
開発者は、アップデートが適用できない場合、ワークアラウンドの適用を推奨しています。

CVE-2024-12703
アップデートする
開発者は、RemoteConnectおよびSCADAPack x70 Utilities – RemoteConnectのアップデートを提供しています。
ワークアラウンドを実施する
RemoteConnectおよびSCADAPack x70 Utilities - Security Administratorにはアップデートが提供されるまでの軽減策の適用を推奨しています。

詳細は、開発者が提供する情報を確認してください。