JVNVU#98262671
Advantech 製 WebAccess/HMI Designer に複数の脆弱性

Advantech 社が提供する WebAccess/HMI Designer には、複数の脆弱性が存在します。

• WebAceess/HMI Designer V2.1.11.0 より前のバージョン

Advantech 社が提供する WebAccess/HMI Designer は Human Machine Interface (HMI) 設計用のソフトウェアです。WebAccess/HMI Designer には、次の複数の脆弱性が存在します。

• ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2021-33000

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 境界外書き込み (CWE-787) - CVE-2021-33002

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• バッファエラー (CWE-119) - CVE-2021-33004

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 解放済みメモリの使用 (Use-after-free) (CWE-416) - CVE-2021-42706

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• クロスサイトスクリプティング (CWE-79) - CVE-2021-42703

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

  基本値: 5.4

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 攻撃者によって特別に細工されたプロジェクトファイル (PLF ファイル、SNF ファイル、PM3 ファイル) を読み込むと、システム上で任意のコードが実行される - CVE-2021-33000, CVE-2021-33002, CVE-2021-33004
• 第三者によって、情報を窃取されたり、任意のコードを実行されたりする- CVE-2021-42706
• 遠隔の第三者によって細工した Javascript コードを当該製品に送信されると、ユーザの認証トークンを乗っ取られたり、ユーザを悪意のあるウェブページにリダイレクトさせ、意図しないブラウザ操作を実行されたりする - CVE-2021-42703

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した WebAccess/HMI Designer V2.1.11.0 をリリースしています。