JVNVU#91384521
Moxa製MXview Network Management Softwareにおける複数の脆弱性

Moxaが提供するMXview Network Management Softwareには、複数の脆弱性が存在します。

• MXview Network Management Software v3.xからv3.2.2までのバージョン

Moxaが提供するMXview Network Management Softwareには、次の複数の脆弱性が存在します。

• パストラバーサル (CWE-22) - CVE-2021-38452

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

  基本値: 7.5

• ハードコードされたパスワードの使用 (CWE-259) - CVE-2021-38456

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 保護されていない認証情報の転送 (CWE-523) - CVE-2021-38460

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• 外部入力値の不適切な無害化処理 (CWE-74) - CVE-2021-38458

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 不適切なアクセス制御 (CWE-284) - CVE-2021-38454

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

  基本値: 10.0

想定される影響は各脆弱性により異なりますが、遠隔の第三者によって、次のような影響を受ける可能性があります。

• プログラムやライブラリなど、コード実行に使用される重要なファイルを作成または上書きされる - CVE-2021-38452
• デフォルトパスワードを使用し、当該製品にアクセスされる - CVE-2021-38456
• 認証情報を窃取される - CVE-2021-38460
• 任意のコマンドを実行される。結果として、ソフトウェアを無効化されたり、本来アクセスできないデータを閲覧、改ざんされたりする - CVE-2021-38458
• MQTTを遠隔操作される - CVE-2021-38454

アップグレードし、ワークアラウンドを実施する
開発者が提供する情報をもとに、当該製品をv3.2.4以降のバージョンにアップグレードしてください。
また、開発者は次のワークアラウンドの実施を推奨しています。

• Windowsパスワードを定期的に変更し、ファイアウォールを使用する
• multiple-site functionを使用する場合、Port 8883/tcpをブロックする。multiple-site functionを使用しない場合は、当該製品にアクセス可能なIPアドレスを制限する