JVNVU#98836905
Hitachi Energy製Lumada Asset Performance Management (APM) における複数の脆弱性

Hitachi Energyが提供するLumada Asset Performance Management（以下、Lumada APM）には、複数の脆弱性が存在します。

• Lumada APM オンラインサービス（SaaS）バージョン 6.3.220323.0およびそれ以前
• Lumada APM バージョン 6.0.0.0から6.0.0.4
• Lumada APM バージョン 6.1.0.0および6.1.0.1
• Lumada APM バージョン 6.2.0.0から6.2.0.2
• Lumada APM バージョン 6.3.0.0から6.3.0.2

Hitachi Energyが提供するLumada APM内のPrognostic Model Executorサービスに含まれるSpring Frameworkコンポーネントに、次の複数の脆弱性が存在します。

• 制限または調整なしのリソースの割り当て (CWE-770) - CVE-2022-22950
• コードインジェクション (CWE-94) - CVE-2022-22965

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の低権限ユーザによって、Spring式言語を利用して細工されたデータや設定を送信され、サービス運用妨害（DoS）状態を引き起こされる - CVE-2022-22950
• 遠隔の低権限ユーザによって、細工したデータや設定を送信され、任意のコードを実行される - CVE-2022-22965

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
Lumada APM オンラインサービス（SaaS）は既に対応済みとのことです。

ワークアラウンドを実施する
開発者は、アップデートが適用できない場合、ワークアラウンドの適用を推奨しています。

詳細は、開発者が提供する情報をご確認ください。