リモートホストをリッスンしている Inductive Automation Ignition のバージョンは、複数の脆弱性の影響を受けます。

  - Java アプレットを起動するために Web リクエストにシンボルを追加する際、Java Web Start にクロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者がこれを悪用して、悪意のある入力を注入して JNLP ファイルを含める可能性があります。
    （CVE-2015-0976）

  - 未処理の例外により生成されるエラーメッセージにより、情報漏洩の脆弱性が存在します。
    （CVE-2015-0991）

  - OPC サーバーの認証情報は、安全でない状態で平文に保存される場合があります。（CVE-2015-0992）

  - セッションが、ログアウト後に Web インターフェイスによって適切に終了されません。これにより、リモートの攻撃者がこのセッションを再利用して、承認されていないアクセス権を取得する可能性があります。
    （CVE-2015-0993）

  HTTP リクエストを使用してセッション ID パラメーターを再設定すると、攻撃者が、ブルートフォースログイン攻撃に対する回避メカニズムをバイパスする可能性があります。（CVE-2015-0994）

  認証データベースの強力なパスワード情報に対して、脆弱なハッシュアルゴリズム（MD5）が使用されています。これにより、ブルートフォース攻撃によるアクセスが容易になります。（CVE-2015-0995）

検出

Inductive Automation Ignition の複数の脆弱性

medium Nessus プラグイン ID 83952

バージョン 1.142