JVNVU#98754213
Eaton 製 Intelligent Power Manager における複数の脆弱性

Eaton 社が提供する Intelligent Power Managerには、複数の脆弱性が存在します。

• Eaton Intelligent Power Manager (IPM) 1.69 より前のすべてのバージョン
• Eaton Intelligent Power Manager Virtual Appliance (IPM VA) 1.69 より前のすべてのバージョン
• Eaton Intelligent Power Protector (IPP) 1.68 より前のすべてのバージョン

Eaton 社が提供する Eaton Intelligent Power Manager には、次の複数の脆弱性が存在します。

• SQL インジェクション (CWE-89) - CVE-2021-23276

  CVSS v3

  CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.1

• コマンドインジェクション (CWE-95) - CVE-2021-23277

  CVSS v3

  CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 8.3

• 不適切な入力確認 (CWE-20) - CVE-2021-23278

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H

  基本値: 8.7

• 不適切な入力確認 (CWE-20) - CVE-2021-23279

  CVSS v3

  CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H

  基本値: 8.0

• 危険なタイプのファイルの無制限アップロード (CWE-434) - CVE-2021-23280

  CVSS v3

  CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

  基本値: 8.0

• コードインジェクション (CWE-94) - CVE-2021-23281

  CVSS v3

  CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 8.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 認証されたユーザによって細工されたパケットを送信され、データベースにユーザを追加される - CVE-2021-23276
• 第三者によって、script/libs/utils.js の loadUserFile 関数を介して、任意のコマンドを実行される - CVE-2021-23277
• 認証されたユーザによって細工されたパケットを送信され、server/maps_srv.js の removeBackground 関数および server/node_upgrade_srv.js の removeFirmware 関数を介して、ユーザーの権限の範囲で当該ソフトウェアがインストールされているシステム上のファイルを削除される - CVE-2021-23278
• 第三者によって細工されたパケットを送信され、meta_driver_srv.js の saveDriverData 関数を介して、当該ソフトウェアがインストールされているシステム上のファイルを削除される - CVE-2021-23279
• 認証されたユーザによって、server/map_srv.js の uploadBackground 関数を介して、任意の NodeJS ファイルがアップロードされたり、細工されたパケットを送信されて任意のコマンドを実行されたりする - CVE-2021-23280
• 第三者によって細工されたパケットを送信され、meta_driver_srv.js の converterCheckList 関数を介して、当該ソフトウェアを悪意ある SNMP サーバに接続され、任意のコードを実行される - CVE-2021-23281

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• Eaton IPM v1.69
• Eaton IPP v1.68

• 当該ソフトウェアがインストールされているサーバに対するポート 4679/TCP および 4680/TCP の通信をブロックする