UNIVERSAL PASSPORT RX に複数の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は6月3日、UNIVERSAL PASSPORT RXにおける複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。東京電機大学の森田慧一氏と渡辺康介氏、東京情報大学の松本悠希氏が報告を行っている。影響を受けるシステムは以下の通り。

横河レンタ・リースの「Unifier」「Unifier Cast」に複数の脆弱性

・CVE-2023-42427および脆弱なサードパーティ製コンポーネントの使用
UNIVERSAL PASSPORT RX バージョン 1.0.0から1.0.7

・CVE-2023-51436
UNIVERSAL PASSPORT RX バージョン 1.0.0から1.0.8

日本システム技術株式会社が提供するUNIVERSAL PASSPORT RXには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・クロスサイトスクリプティング(CVE-2023-42427、CVE-2023-51436)
→当該製品を使用しているユーザのウェブブラウザ上で任意のスクリプトを実行される

・脆弱なサードパーティ製コンポーネントの使用
→当該製品で使用しているPrimefacesライブラリの既知の脆弱性の影響を受けて、システム上で任意のコードを実行される

CVE-2023-42427および脆弱なサードパーティ製コンポーネントの使用については、両脆弱性の影響を受ける可能性のあるユーザへの周知と対象製品の修正バージョンへのアップデートを完了しており、ユーザによる対策は不要となっている。

CVE-2023-51436については、JVNではアップデートか、個別対応プログラムの適用を呼びかけている。

なお、本JVNに掲載されている脆弱性はすべて「UNIVERSAL PASSPORT RX バージョン 1.0.9」で修正されている。

© 株式会社イード