CVE-2021-29218
| Summary |
A local unquoted search path security vulnerability has been identified in HPE Agentless Management Service for Windows version(s): Prior to 1.44.0.0, 10.96.0.0. This vulnerability could be exploited locally by a user with high privileges to execute malware that may lead to a loss of confidentiality, integrity, and availability. HPE has provided software updates to resolve the vulnerability in HPE Agentless Management Service for Windows.
|
| Publication Date |
Feb. 5, 2022, 8:15 a.m. |
| Registration Date |
Feb. 5, 2022, noon |
| Last Update |
Nov. 21, 2024, 3 p.m. |
|
CVSS3.1 : MEDIUM
|
| スコア |
6.7
|
| Vector |
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| 攻撃元区分(AV) |
ローカル |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃に必要な特権レベル(PR) |
高 |
| 利用者の関与(UI) |
不要 |
| 影響の想定範囲(S) |
変更なし |
| 機密性への影響(C) |
高 |
| 完全性への影響(I) |
高 |
| 可用性への影響(A) |
高 |
|
CVSS2.0 : MEDIUM
|
| Score |
4.6
|
| Vector |
AV:L/AC:L/Au:N/C:P/I:P/A:P |
| 攻撃元区分(AV) |
ローカル |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃前の認証要否(Au) |
不要 |
| 機密性への影響(C) |
低 |
| 完全性への影響(I) |
低 |
| 可用性への影響(A) |
低 |
| Get all privileges. |
いいえ
|
| Get user privileges |
いいえ
|
| Get other privileges |
いいえ
|
| User operation required |
いいえ
|
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:hpe:agentless_management:*:*:*:*:*:*:*:* |
|
|
|
1.44.0.0 |
| execution environment |
| 1 |
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:x64:* |
| Configuration2 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:hpe:proliant_agentless_management:*:*:*:*:*:*:*:* |
|
|
|
10.96.0.0 |
| execution environment |
| 1 |
cpe:2.3:h:hpe:apollo_20:-:*:*:*:*:*:*:* |
| 2 |
cpe:2.3:h:hpe:apollo_2000_gen_10_plus:-:*:*:*:*:*:*:* |
| 3 |
cpe:2.3:h:hpe:apollo_6500:-:*:*:*:*:*:*:* |
| 4 |
cpe:2.3:h:hpe:apollo_6500_gen10_plus:-:*:*:*:*:*:*:* |
| 5 |
cpe:2.3:h:hpe:apollo_80:-:*:*:*:*:*:*:* |
| 6 |
cpe:2.3:h:hpe:proliant_dl:-:*:*:*:*:*:*:* |
| 7 |
cpe:2.3:h:hpe:proliant_ml:-:*:*:*:*:*:*:* |
| 8 |
cpe:2.3:h:hpe:synergy_480_gen9:-:*:*:*:*:*:*:* |
| 9 |
cpe:2.3:h:hpe:synergy_620_gen9:-:*:*:*:*:*:*:* |
| 10 |
cpe:2.3:h:hpe:synergy_660_gen9:-:*:*:*:*:*:*:* |
| 11 |
cpe:2.3:h:hpe:synergy_680_gen9:-:*:*:*:*:*:*:* |
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
HPE Agentless Management が登録する一部の Windows サービスにおいて実行ファイルのパスが引用符で囲まれていない脆弱性
| Title |
HPE Agentless Management が登録する一部の Windows サービスにおいて実行ファイルのパスが引用符で囲まれていない脆弱性
|
| Summary |
Hewlett Packard Enterprise が提供する HPE Agentless Management が登録する一部の Windows サービスでは、登録される実行ファイルのパスが引用符で囲まれていません (CWE-428)。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: PwCコンサルティング合同会社 大田 大輔 氏
|
| Possible impacts |
Windows サービスの実行ファイルパスに空白文字が含まれ、かつ引用符で囲まれていない場合に、空白文字を含むパスを利用して、当該サービスの権限で不正なファイルが実行される可能性があります。 |
| Solution |
[アップデートする] 開発者が提供する情報をもとに、最新版にアップデートしてください。 |
| Publication Date |
Feb. 9, 2022, midnight |
| Registration Date |
Feb. 9, 2022, 12:04 p.m. |
| Last Update |
March 9, 2022, 12:14 p.m. |
Affected System
| ヒューレット・パッカード・エンタープライズ |
|
HPE Agentless Management Service for Windows x64 1.44.0.0 より前のバージョン
|
|
HPE ProLiant Agentless Management Service for HPE Apollo, ProLiant and Synergy Gen9 servers 10.96.0.0 より前のバージョン
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2022年02月09日]
掲載 |
Feb. 3, 2022, 5:06 p.m. |
| 2 |
[2022年03月09日]
ベンダ情報：日立 (hitachi-sec-2022-206) を追加 |
March 9, 2022, 11:45 a.m. |