JVNVU#95888908
MDT Software製MDT AutoSaveに複数の脆弱性

MDT Software社が提供するMDT AutoSaveには、複数の脆弱性が存在します。

• MDT AutoSave v6.02.06より前のバージョン
• MDT AutoSave v7.00からv7.04まで
• AutoSave for System Platform v4.01より前のバージョン
• AutoSave for System Platform v5.00

MDT Softwareが提供するMDT AutoSaveには、次の複数の脆弱性が存在します。

• 不適切な暗号強度（CWE-326） - CVE-2021-32945

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• SQLインジェクション（CWE-89） - CVE-2021-32953

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 相対的パストラバーサル（CWE-23） - CVE-2021-32949

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• コマンドインジェクション（CWE-77） - CVE-2021-32933

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 10.0

• 適切に制御されていない検索パス（CWE-427） - CVE-2021-32957

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• エラーメッセージによる情報漏えい（CWE-209） - CVE-2021-32937

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• 任意のファイルのアップロード（CWE-434） - CVE-2021-32961

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、暗号を解読されシステムにアクセスされる ‐ CVE-2021-32945
• 遠隔の第三者によって、新規ユーザの追加および権限昇格が行われログインされる ‐ CVE-2021-32953
• 遠隔の第三者によって、既存ファイルを悪意のあるファイルに置換される ‐ CVE-2021-32949
• 遠隔の第三者によって、悪意のあるプロセスを実行される ‐ CVE-2021-32933
• 遠隔の第三者によって、バイナリを改ざんされる ‐ CVE-2021-32957
• 遠隔の第三者によって、読み込みや書き込みが可能な作業ディレクトリを利用し、悪意のあるコマンドが実行される ‐ CVE-2021-32937
• 遠隔の第三者によって、当該製品に配置された悪意のあるexeファイルを実行される ‐ CVE-2021-32961

アップデートする
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• MDT AutoSave v6.02.06
• MDT AutoSave v7.05
• AutoSave for System Platform  v4.01
• AutoSave for System Platform  v5.01