公開日：2021/12/15 最終更新日：2021/12/22
JVNVU#94306028
Schneider Electric製の複数のラック電力分配ユニット（PDU）におけるアクセス権のないユーザが機微な情報にアクセス可能な脆弱性
Schneider Electric製の複数のラック電力分配ユニット（PDU）には、アクセス権のないユーザが機微な情報にアクセス可能な脆弱性が存在します。
- NMC2（Network Management Card 2）を使用している次の製品
- AP7xxxx v6.9.6およびそれ以前
- AP8xxx v6.9.6およびそれ以前
- NMC3（Network Management Card 3）を使用している次の製品
- AP7xxx v1.1.0.3およびそれ以前
- AP8xxx v1.1.0.3およびそれ以前
- APDU9xxx v1.0.0.28およびそれ以前
Schneider Electric社が提供する複数のラック電力分配ユニット（PDU）には、 アクセス権のないユーザが機微な情報にアクセス可能（CWE-200, CVE-2021-22825）な脆弱性が存在します。
当該製品の管理者権限持つユーザが細工されたURLにアクセスすると、攻撃者によって管理者権限を取得され、セキュリティトークンが損なわれる可能性があります。
アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。
- NMC2を使用している場合
- AP7xxxx v7.0.6
- AP8xxx v7.0.6
- NMC3を使用している場合
- AP7xxx v1.2.0.2
- AP8xxx v1.2.0.2
- APDU9xxx v1.2.0.2
CVSS v3
CVSS:3.0/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:L
基本値:
6.5
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
- 2021/12/22
- CWE-200に変更しました。それに伴い[タイトル] 、[概要]、[詳細情報]、CVSS v3を修正しました。
