Schneider Electric U.motion Builder のSQLインジェクションの脆弱性（CVE-2018-7841）

何が起きた

Schneider Electric の建物設備向けソフト U.motion Builder に、入力した文字を通じてデータベースへの命令を操れてしまう弱点（SQL インジェクション）が見つかりました。不適切な文字が入力されると、意図しないプログラムが実行される可能性があります。ログイン不要で、離れた場所から利用者の操作なしに悪用できます。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

U.motion Builder のバージョン 1.3.4 を使っている組織が影響を受けます。CISA によると、この製品はサポートが終わっています（end-of-life）。

何をすればいい

CISA は、この製品はサポートが終わっているため、まだ使っている場合はネットワークから切り離すよう求めています。修正版の提供は、このデータからは不明です。

やることチェックリスト

• U.motion Builder をネットワークから切り離す
• U.motion Builder 1.3.4 が動いているか調べる
• U.motion Builder の利用をやめる

用語メモ

SQL インジェクション 用語集で見る

入力欄などに細工した文字を入れて、データベースへの命令を書き換える攻撃です。

データベース 用語集で見る

たくさんの情報を整理してしまっておき、すばやく取り出せるようにした仕組みです。