最近の脆弱性 › CVE-2022-29303
SolarView Compact のコマンドインジェクションの脆弱性（CVE-2022-29303）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2022-29303 |
|---|---|
| 製品 | SolarView Compact |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-07-13 |
| 米国政府機関の対応期限 | 2023-08-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
SolarView Compact のウェブ画面にある、テストメールを送る機能（conf_mail.php）で、入力された値のチェックが不十分なため、OS のコマンドを外から実行されてしまう弱点（コマンドインジェクション）が見つかりました。攻撃者はネットワーク経由で、ログインもせず、利用者の操作もなしに悪用できます。実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
太陽光発電の計測や監視に SolarView Compact を使っている組織や個人が対象です。データでは ver.6.00 に弱点があるとされています。それ以外に影響を受けるバージョンは、このデータからは不明です。
何をすればいい
メーカーの公式の案内を確認し、更新できる新しいバージョンがあれば更新してください。修正されたバージョンの番号は、このデータからは不明です。更新ができない場合は、製品の利用をやめることも検討してください。
やることチェックリスト
- SolarView Compact のバージョンを確かめる
- ver.6.00 なら更新できる版を探して更新する
- 更新できなければ製品の利用をやめる
用語メモ
- コマンドインジェクション
- 入力欄などに紛れ込ませた文字が、機器の OS への命令（コマンド）として実行されてしまう弱点です。
- OS
- 機器を動かす土台になる基本ソフトです。
元データ（英語・CISA KEV より）
SolarView Compact Command Injection Vulnerability
概要
SolarView Compact contains a command injection vulnerability due to improper validation of input values on the send test mail console of the product's web server.
推奨対応
Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.