JVNVU#93504320
Hitachi Energy製RTU500シリーズおよびMACH SCMにおける複数の脆弱性

Hitachi Energyが提供するRTU500シリーズおよびMACH SCMには、複数の脆弱性が存在します。

CVE-2024-1531、CVE-2024-1532

• RTU500シリーズ CMUファームウェアバージョン12.0.1から12.0.14
• RTU500シリーズ CMUファームウェアバージョン12.2.1から12.2.11
• RTU500シリーズ CMUファームウェアバージョン12.4.1から12.4.11
• RTU500シリーズ CMUファームウェアバージョン12.6.1から12.6.9
• RTU500シリーズ CMUファームウェアバージョン12.7.1から12.7.6
• RTU500シリーズ CMUファームウェアバージョン13.2.1から13.2.6
• RTU500シリーズ CMUファームウェアバージョン13.4.1から13.4.4
• RTU500シリーズ CMUファームウェアバージョン13.5.1から13.5.3

• MACH SCM バージョン4.0から4.5.x
• MACH SCM バージョン4.6から4.38

Hitachi Energyが提供するRTU500シリーズおよびMACH SCMには、次の複数の脆弱性が存在します。

• アップロードするファイルの検証が不十分（CWE-434）－CVE-2024-1531、CVE-2024-1532
• コードインジェクション（CWE-94）－CVE-2024-0400
• Evalインジェクション（CWE-95）－CVE-2024-2097

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 認証されたユーザによって、細工されたファイルをアップロードされると当該製品のシステムログにメモリの内容を出力される（CVE-2024-1531）
• 認証されたユーザによって、細工されたファイルをアップロードされると当該Webサーバのユーザインターフェイスでテキストを表示されなくされる（CVE-2024-1532）
• 認証されたクライアントによって、任意のコードを実行される（CVE-2024-0400、CVE-2024-2097）

アップデートする
2024年4月26日時点で、開発者は、一部の製品にアップデートを提供済みでその他は提供予定としています。
ワークアラウンドを実施する
開発者は、アップデートが利用可能になるまでワークアラウンドの適用を推奨しています。

詳細は、開発者が提供する情報を確認してください。