JVNVU#90721897
Red Lion 製 N-Tron 702-W および 702M12-W に複数の脆弱性

Red Lion 社 が提供する N-Tron 702-W および 702M12-W には、複数の脆弱性が存在します。

• N-Tron 702-W すべてのバージョン
• N-Tron 702M12-W すべてのバージョン

N-Tron 702-W および 702M12-W は、Red Lion 社が提供する産業用無線ネットワーク機器です。
N-Tron 702-W および 702M12-W には次の複数の脆弱性が存在します。

• 反射型クロスサイトスクリプティング (CWE-79) - CVE-2020-16210

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

  基本値: 9.0

• 格納型クロスサイトスクリプティング (CWE-79) - CVE-2020-16206

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

  基本値: 9.0

• クロスサイトリクエストフォージェリ (CWE-352) - CVE-2020-16208

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 8.8

• バックドアの問題 (CWE-912) - CVE-2020-16204

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• メンテナンスされていないサードパーティ製品の使用 (CWE-1104) - CVE-2017-16544

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって任意のコードを実行され、ユーザのコンテキストでアクションを実行される - CVE-2020-16210
• 遠隔の第三者によって任意のコードを実行され、機微な情報を窃取される - CVE-2020-16206
• 認証されたユーザーに細工されたリンクをクリックするよう誘導することで、遠隔の第三者によってデバイスの構成を変更される - CVE-2020-16208
• ドキュメント化されていないインターフェースに起因する脆弱性により、遠隔の第三者に root 権限でコマンドを実行される - CVE-2020-16204
• 古いソフトウェアコンポーネントに起因する脆弱性により、遠隔の第三者に機密情報にアクセスされ、デバイスを制御される - CVE-2017-16544

ワークアラウンドを実施する
Red Lion 製の N-Tron 702-W シリーズは、2018年に製造を中止しており、アップデートができません。
Red Lion 社では、当該製品を安全なネットワーク内でローカルに使用することを推奨しています。