JVNVU#99454170
複数のJohnson Controls製品におけるコマンドインジェクションの脆弱性

複数のJohnson Controls製品にはコマンドインジェクションの脆弱性が存在します。

• Application and Data Server (ADS) Metasys 14.1およびそれ以前
• Extended Application and Data Server (ADX) Metasys 14.1
• LCS8500 Metasys installation 12.0から14.1まで
• NAE8500 Metasys installation 12.0から14.1まで
• System Configuration Tool (SCT) 17.1およびそれ以前
• Controller Configuration Tool (CCT) 17.0およびそれ以前

複数のJohnson Controls製品には次の脆弱性が存在します。

• コマンドインジェクション（CWE-77）
  • CVE-2025-26385

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 特定の状況において、システム上でSQLコマンドが実行される

パッチを適用する
開発者はLicense Portalを通じたパッチの適用を推奨しています。

ワークアラウンドを実施する
パッチの適用と併せてワークアラウンドの適用も推奨されます。

詳細はICS Advisoryを確認してください。