リモートホストにインストールされている EcoStruxure IT Data Center Expert のバージョンは 9.0 より前です。したがって、apsb25-36 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CWE-78: OS コマンドで使用される特殊な要素の不適切な中和 (「OS コマンドインジェクション」) の脆弱性が存在し、ウェブインターフェースの HTTP 経由で悪質なフォルダーが作成された場合、認証されていないリモートコード実行が発生する可能性があります。HTTP は、既定では無効です。(CVE-2025-50121)

  - CWE-331: 不十分なエントロピーの脆弱性が存在し、パスワード生成アルゴリズムがインストールまたはアップグレードのアーティファクトへのアクセスでリバースエンジニアリングされた場合、root パスワードが発見される可能性があります。(CVE-2025-50122)

  - CWE-94: コード生成の不適切な制御 (「コードインジェクション」) の脆弱性が存在し、サーバーがコンソール経由でアクセスされ、ホスト名入力の脆弱性が悪用される場合、特権アカウントによるリモートコマンド実行が発生する可能性があります。(CVE-2025-50123)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

EcoStruxure IT Data Center Expert <= 8.3 の複数の脆弱性 (SEVD-2025-189-01)

critical Nessus プラグイン ID 242985

バージョン 1.2