METIS WIC CVE-2026-2250 Unauthenticated DB Exfiltration and Source Code Disclosure

主要情報まとめ CVE ID: CVE-2026-2250 CVSS 3.1 スコア: 7.5 CWE: - 不適切なアクセス制御 (CWE-284) - デバッグモードの有効化 (CWE-215) 影響を受ける製品: METIS Wireless Intelligent Collector 影響を受けるファームウェア: oscore 2.1.234-r18 およびそれより前のバージョン 影響を受けるシステム 海洋 IoT ネットワークにおける METIS WIC: - 海洋産業において重要なデバイス。 - ZigBee または Ethernet を介して METIS Data Fusion Server へデータを送信する。 根本原因分析 不適切なアクセス制御 (CWE-284): エンドポイントに認証ミドルウェアが欠如している。 本番環境でのデバッグモード有効化 (CWE-215): 本番用ファームウェアに が設定されている。 攻撃ベクトルおよび悪用パス (PoC) 未認証のデータベース漏洩: - 攻撃者は インターフェースを通じてテレメトリテーブルを特定し、エクスポートできる。 - 概念実証 (PoC): の抽出。 デバッグトレースバックによるソースコード開示: - 無効なパラメータを含むリクエストを送信し、未処理の例外をトリガーさせる。 - 概念実証 (PoC): 内部ソースコード、パス、および脆弱なロジックを開示する。 影響評価 CVSS 3.1 スコア: 7.5 (高) 機密性 (高): テレメトリデータベースおよびバックエンドコードの完全な開示。 整合性および可用性: 直接的な影響はないが、開示により後続の攻撃が可能になる。 対策およびパッチ適用手順 公式パッチの適用: ファームウェアをバージョン 以降にアップグレードする。 ネットワークの分離および強化: WIC デバイスを安全な VLAN 内で隔離する。

目標達成 すべての支援者に感謝 — 100%達成しました！

METIS WIC CVE-2026-2250 Unauthenticated DB Exfiltration and Source Code Disclosure

目標達成すべての支援者に感謝 — 100%達成しました！