Advantech iView Multiple Vulnerabilities Analysis (CVE-2015-7937): RCE, SQLi, XSS

重要な脆弱性情報 1. 脆弱性の概要 CVE番号: CVE-2015-7937 影響製品: Advantech iView 公開日: 2015年7月28日 リスク評価: 高 2. 技術詳細 影響を受ける製品: - Advantech iView 6.0.0.0 脆弱性の概要: - CWE-79: クロスサイトスクリプティング（XSS） - 攻撃者は、Webページの生成時に入力の適切なきゃラク化が不十分であることを悪用し、悪意のあるスクリプトを注入できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 4.3 (AV:N/AC:M/Au:N/C:N/I:P/A:N) - CWE-79: クロスサイトスクリプティング（XSS）の別の例 - 攻撃者は、Webページの生成時に入力の適切なきゃラク化が不十分であることを悪用し、悪意のあるスクリプトを注入できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 4.3 (AV:N/AC:M/Au:N/C:N/I:P/A:N) - CWE-89: SQLインジェクション - 攻撃者は、SQLコマンドにおいて特殊文字の適切なきゃラク化が不十分であることを悪用し、任意のSQLコマンドを実行できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P) - CWE-22: パストラバーサル - 攻撃者は、ディレクトリ内でのパスの制限が不十分であることを悪用し、制限されたファイルまたはディレクトリにアクセスできます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N) - CWE-89: SQLインジェクションの別の例 - 攻撃者は、SQLコマンドにおいて特殊文字の適切なきゃラク化が不十分であることを悪用し、任意のSQLコマンドを実行できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P) - CWE-88: コマンドインジェクション - 攻撃者は、コマンド引数において特殊文字の適切なきゃラク化が不十分であることを悪用し、任意のコマンドを実行できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P) - CWE-88: コマンドインジェクションの別の例 - 攻撃者は、コマンド引数において特殊文字の適切なきゃラク化が不十分であることを悪用し、任意のコマンドを実行できます。 - 例示URL: - 影響バージョン: v6.0.0.0 - CVSSスコア: 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P) 3. 緩和策 最新バージョンに更新する 安全なコーディングプラクティスを採用する Webアプリケーションファイアウォール（WAF）を展開する 定期的なセキュリティ監査とテストを実施する

目標達成 すべての支援者に感謝 — 100%達成しました！

Advantech iView Multiple Vulnerabilities Analysis (CVE-2015-7937): RCE, SQLi, XSS

目標達成すべての支援者に感謝 — 100%達成しました！