Advantech社のWebAccess/SCADAとR-SeeNetに脆弱性（JVN）

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月16日、複数のAdvantech社製品の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威セキュリティホール・脆弱性

2020.10.20 Tue 8:05

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月16日、複数のAdvantech社製品の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

WebAccess/SCADA Version 9.0 およびそれ以前
R-SeeNet Versions 1.5.1 から 2.4.10

WebAccess/SCADAはブラウザベースのSCADAソフトウェアパッケージで、ファイル名やパス名の外部制御の脆弱性（CWE-73）が存在し、想定される影響としては遠隔の第三者がWebAccess/SCADAのWADashboardコンポーネントを利用し、ファイルシステムの操作で使用されるパスを制御または影響を与え、管理者として任意のコードを実行するおそれがある。

R-SeeNetはルーターを監視するためのアプリケーションで、ルーターの位置情報（GPS）を表示するための専用Webページ（device_position.php）には、遠隔の第三者がR-SeeNetのデータベースでSQL SELECTクエリを呼び出すことを可能とするSQLインジェクションの脆弱性（CWE-89）が存在する。想定される影響としては、遠隔の第三者によってR-SeeNetデータベースから機微な情報が窃取されるおそれがある。

JVNでは、開発者が提供する情報をもとに、それぞれ最新版にアップデートするか、R-SeeNetについては、「C:\R-SeeNet\php\device\_position.php」（Windowsの場合）、または「/usr/share/r-seenet/www/php/php/device\_position.php」（Linux の場合）を削除するよう呼びかけている。

《ScanNetSecurity》