Siemens Industrial Edge App Publisher Certificate Validation & XSS Vulnerability Advisory

脆弱性概要 Siemens Security Advisory 指出，Industrial Edge App Publisher 存在多个脆弱性，包括证书验证不正确以及在后端响应中呈现未转义数据的问题。这些问题可能导致攻击者在网络上冒充管理服务器并执行任意代码（RCE）。 影響範囲 対象製品：Industrial Edge App Publisher 対象バージョン：全バージョン < V1.27.9 修正方法 修正バージョン：V1.27.9 以降にアップグレード ダウンロードリンク：https://ics.su1.edge.siemens.cloud/devien_app/application/new/download/the_ics_en.html 脆弱性詳細 脆弱性 CVE-2026-78556 説明：TLS 接続確立時にサーバー証明書が適切に検証されず、攻撃者が中間者攻撃（MitM）による通信の傍受とリプレイを可能にする。 CVSS v3.1 ベーススコア：7.4 CVSS v3.1 ベクター：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CVSS v4.0 ベーススコア：7.5 CVSS v4.0 ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/HI:H/NA:SC:N/NS:A:N CWE：CWE-295: Improper Certificate Validation 脆弱性 CVE-2026-78557 説明：アプリケーションがバックエンドから受信したデータを適切にクリーンアップまたはエスケープしないため、フロントエンドでのレンダリング時に任意の JavaScript が実行され、リモートコード実行（RCE）につながる可能性がある。 CVSS v3.1 ベーススコア：8.3 CVSS v3.1 ベクター：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CVSS v4.0 ベーススコア：7.7 CVSS v4.0 ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/HI:H/NA:SC:N/NS:A:N CWE：CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting) 備考 公開日：2026-10-13 最終更新日：2026-10-13 現在のバージョン：V1.0 CVSS v3.1 ベーススコア：8.3 CVSS v4.0 ベーススコア：7.7 謝辞 Siemens は以下の貢献者を感謝します： Ezinne Kalu：報告および開示の調整 追加情報 Siemens の製品およびソリューションに関するセキュリティ脆弱性情報の詳細については、Siemens ProductCERT までお問い合わせください：https://www.siemens.com/cert/advisories 履歴 V1.0 (2026-10-13)：公開日 利用規約 Siemens セキュリティアドバイザリの利用については、以下の条項および条件に従う必要があります：https://www.siemens.com/productcert/terms-of-use

目標達成 すべての支援者に感謝 — 100%達成しました！

Siemens Industrial Edge App Publisher Certificate Validation & XSS Vulnerability Advisory

目標達成すべての支援者に感謝 — 100%達成しました！