SolarView Compact のコマンドインジェクションの脆弱性（CVE-2022-29303）

何が起きた

SolarView Compact のウェブ画面にある、テストメールを送る機能（conf_mail.php）で、入力された値のチェックが不十分なため、OS のコマンドを外から実行されてしまう弱点（コマンドインジェクション）が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインもせず、利用者の操作もなしに悪用できるとされています。一方、JVN の情報では、設定画面にアクセスできる利用者によって OS のコマンドを実行されるおそれがある、とされています。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

太陽光発電の計測や監視に SolarView Compact を使っている組織や個人が対象です。メーカーのコンテックの案内では、型式 SV-CPT-MC310 と SV-CPT-MC310F の Ver.7.21 未満が、この脆弱性の影響を受けます。NVD の説明では ver.6.00 に弱点があるとされています。

何をすればいい

コンテックの案内に従って、ファームウェアを最新版（Ver.7.22 以降）に更新してください。2024年4月16日の時点の最新版は Ver.8.20 です。すぐ更新できない場合、コンテックは、製品をネットワーク回線から切り離す、ネットワークの上流側にファイアウォールを置く、信頼できる閉域網で使う、「ユーザー認証範囲の設定」を「全画面を認証対象にする」にする、といった軽減策を勧めています。CISA は、更新できない場合は製品の利用をやめるよう求めています。

やることチェックリスト

• SolarView Compact のバージョンを確かめる
• ファームウェアを Ver.7.22 以降に更新する
• 更新できなければ製品の利用をやめる

用語メモ

コマンドインジェクション 用語集で見る

入力欄などに紛れ込ませた文字が、機器の OS への命令（コマンド）として実行されてしまう弱点です。

OS 用語集で見る

機器を動かす土台になる基本ソフトです。