JVNVU#96415307    
METZ CONNECT製EWIO2シリーズにおける複数の脆弱性

METZ CONNECTが提供するEWIO2シリーズには、複数の脆弱性が存在します。

• Energy-Controlling EWIO2-M ファームウェア 2.2.0より前のバージョン
• Energy-Controlling EWIO2-M-BM ファームウェア 2.2.0より前のバージョン
• Ethernet-IO EWIO2-BM ファームウェア 2.2.0より前のバージョン

METZ CONNECTが提供するEWIO2シリーズには、次の複数の脆弱性が存在します。

• 認証回避（CWE-305）
  • CVE-2025-41733
• PHPリモートファイルインクルージョン（CWE-98）
  • CVE-2025-41734
• アップロードするファイルの検証が不十分（CWE-434）
  • CVE-2025-41735
• ‘.../...//‘に関するパストラバーサル（CWE-35）
  • CVE-2025-41736
• 不適切なアクセス制御（CWE-284）
  • CVE-2025-41737

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の攻撃者によってPOSTリクエストを送信され、rootの認証情報を設定される（CVE-2025-41733）
• 遠隔の攻撃者によって任意のPHPファイルを実行され、当該デバイスへの完全なアクセス権を取得される（CVE-2025-41734）
• 遠隔の低権限ユーザーによって任意の場所に任意のファイルをアップロードされ、リモートコードを実行される（CVE-2025-41735）
• 遠隔の低権限ユーザーによって新規Pythonスクリプトのアップロードまたは既存のPythonスクリプトを上書きされ、リモートコードを実行される（CVE-2025-41736）
• 遠隔の攻撃者によってPHPモジュールのソースを読み取られる（CVE-2025-41737）

アップデートする
開発者は、アップデートを提供しています。
詳細は、ICS AdvisoryまたはVDE CERTが提供する情報を確認してください。

ベンダ	リンク
VDE CERT	METZ CONNECT: Config API – Authentication bypass leads to admin takeover in EWIO2 series

1. ICS Advisory | ICSA-25-322-05
   METZ CONNECT EWIO2