JVNVU#97043819
PTC製Axeda agentおよびAxeda Desktop Server for Windowsにおける複数の脆弱性

PTC社が提供するAxeda agentおよびAxeda Desktop Server for Windowsには、複数の脆弱性が存在します。

• Axeda agent全てのバージョン
• Axeda Desktop Server for Windows全てのバージョン

PTC社が提供するAxeda agentおよびAxeda Desktop Server for Windowsには、次の複数の脆弱性が存在します。

• ハードコードされた認証情報の使用 (CWE-798) - CVE-2022-25246

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25247

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 情報漏えい (CWE-200) - CVE-2022-25248

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

  基本値: 5.3

• パストラバーサル (CWE-22) - CVE-2022-25249

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25250

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25251

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 例外に対する不適切なチェックまたは処理 (CWE-703) - CVE-2022-25252

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、ハードコードされた資格情報を利用され、製品を制御される - CVE-2022-25246
• 遠隔の第三者によって、特定のポートにコマンドを送信され、ファイルシステムにアクセスされたり、任意のコードが実行されたりする - CVE-2022-25247
• 遠隔の第三者によって、特定のポートに接続され、イベントログを窃取される - CVE-2022-25248
• 遠隔の第三者によって、Webサーバを介してファイルシステムの読み取り権限を取得される - CVE-2022-25249
• 遠隔の第三者によって、特定のポートにコマンドを送信され、特定のサービスをシャットダウンされる - CVE-2022-25250
• 遠隔の第三者によって、特定のポートにXMLメッセージを送信され、製品の構成を変更される - CVE-2022-25251
• 遠隔の第三者によって、特定の入力を送信され、クラッシュされる - CVE-2022-25252

アップデートする
開発者が提供する情報をもとに対策済みバージョンにアップデートしてください。

• Axeda agent Version 6.9.2 build 1049
• Axeda agent Version 6.9.3 build 1051
• Axeda Desktop Server Version 6.9 build 215

• ローカルホストインターフェイス（127.0.0.1）でのみリッスンするようにAxeda agentとAxeda Desktop Serverを構成する。
• 各ユニットのAxedaDesktop.iniファイルに一意のパスワードを入力する。
• ERemoteServerを本番環境で利用しない。
• ホストデバイスからERemoteServerファイルを削除する。
• インストールファイルを削除する。
• ERemoteServerへの接続は信頼できるホストからのみ許可し、他のホストからの接続はブロックする。
• ERemoteServerとAxeda Builder間のローカルホスト通信（127.0.0.1）を構成する。
• Axeda Deployment Utilityへのログインに必要な認証情報用にAxeda agentを構成する。