リモートホストで実行中の Inductive Automation Ignition のバージョンは、複数の脆弱性の影響を受けます。

  - Perspective Module の実行時にロギングルートが保護されていないため、サービス拒否（DoS）の脆弱性があります。認証されていないリモート攻撃者がこれを悪用して、巧妙に作りこまれた一連のメッセージを使用して、無限のログステートメントをスペース制限なしでデータベースに書き込むことができ、その結果、利用可能なハードディスクスペース全体を消費する可能性があります。
    （CVE-2020-10641）

  - ユーザー指定のデータが適切に検証されないため、逆シリアル化の脆弱性が存在します。認証されていないリモート攻撃者がこれを悪用して、SYSTEM のコンテキストで任意のコードを実行する可能性があります。（CVE-2020-10644、CVE-2020-12000）

  - サーバーを照会するために必要な適切な認証が欠落しているため、com.inductiveautomation.ignition.gateway.servlets. gateway.functions.ProjectDownload クラスの getDiffs メソッドに情報漏洩の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、秘密情報を漏洩させる可能性があります。 (CVE-2020-12004)

検出

Inductive Automation Ignition 8.x < 8.0.10 の複数の脆弱性

high Nessus プラグイン ID 137356

バージョン 1.47