概要
ServerProtectにおける複数の脆弱性の詳細、および対策について教えてください。
詳細
脆弱性の影響を受ける製品/コンポーネント/ツール
| 該当する脆弱性 | 製品/コンポーネント/ツールおよびバージョン |
CVSS3.0
スコア | 深刻度 |
|---|---|---|---|
|
CVE-2022-25329
|
| 9.8 | 緊急 |
|
CVE-2022-25330
| 8.8 | 高 | |
|
CVE-2022-25331
| 6.5 | 中 |
脆弱性の概要
弊社製品において、次の脆弱性の存在が確認されました。
CVE-2022-25329: ServerProtectインフォメーションサーバーの静的クレデンシャル
(CVSSv3.1: 9.8: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
ServerProtect 6.0 / 5.8 インフォメーションサーバーは、コンソールに特定のコマンドが入力されたときに、静的クレデンシャルを使用して認証を実行します。 インフォメーションサーバーにアクセスできる認証されていないリモートの攻撃者は、これを悪用してサーバーに登録し、認証されたアクションを実行する可能性があります。
CVE-2022-25330: ServerProtectインフォメーションサーバーのコマンド整数オーバーフロー
CVSSv3.1: 8.8: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ServerProtect 6.0 / 5.8 インフォメーションサーバーに存在するインターフローオーバーフロー状態により、リモートの攻撃者がプロセスをクラッシュさせたり、リモートでコードが実行されたりする可能性があります。
CVE-2022-25331: ServerProtectインフォメーションサーバーのコマンドサービス拒否（DoS）
CVSSv3.1: 6.5: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
ServerProtect 6.0 / 5.8 のインフォメーションサーバでの例外の発生により、リモートの攻撃者がプロセスをクラッシュさせる可能性があります。
対処方法
| 製品/コンポーネント/ツール | バージョン | 修正 | Readme |
|---|---|---|---|
| ServerProtect for Storage | 6.0 | ServerProtect for Storage 6.0 Patch 2 - ビルド 1306 ダウンロードページ | リリースノート |
| ServerProtect for Windows | 5.8 | ServerProtect for Windows 5.8 - Patch7 Critical Patch - ビルド 1588 ダウンロードページ | リリースノート |
| ServerProtect for EMC Celerra | 5.8 | ServerProtect for EMC Celerra 5.8 - Patch2 Critical Patch - ビルド 1589 ダウンロードページ | リリースノート |
| ServerProtect for NetApp | 5.8 | ServerProtect for NetApp 5.8 - Service Pack 1 Patch 2 Critical Patch - ビルド 1309 ダウンロードページ | リリースノート |
軽減要素
本脆弱性を悪用するには、一般には攻撃対象への物理的・リモートアクセスが必要となります。 信頼されたネットワークからのみサーバへのアクセスを許可することで、本脆弱性が利用される可能性を軽減することができます。参照情報
- CVE-2022-25329
- CVE-2022-25330
- CVE-2022-25331
