公開日:2021/10/06 最終更新日:2021/10/06

JVNVU#91384521
Moxa製MXview Network Management Softwareにおける複数の脆弱性

概要

Moxaが提供するMXview Network Management Softwareには、複数の脆弱性が存在します。

影響を受けるシステム

  • MXview Network Management Software v3.xからv3.2.2までのバージョン

詳細情報

Moxaが提供するMXview Network Management Softwareには、次の複数の脆弱性が存在します。

  • パストラバーサル (CWE-22) - CVE-2021-38452
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N 基本値: 7.5
  • ハードコードされたパスワードの使用 (CWE-259) - CVE-2021-38456
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 保護されていない認証情報の転送 (CWE-523) - CVE-2021-38460
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5
  • 外部入力値の不適切な無害化処理 (CWE-74) - CVE-2021-38458
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 不適切なアクセス制御 (CWE-284) - CVE-2021-38454
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N 基本値: 10.0

想定される影響

想定される影響は各脆弱性により異なりますが、遠隔の第三者によって、次のような影響を受ける可能性があります。

  • プログラムやライブラリなど、コード実行に使用される重要なファイルを作成または上書きされる - CVE-2021-38452
  • デフォルトパスワードを使用し、当該製品にアクセスされる - CVE-2021-38456
  • 認証情報を窃取される - CVE-2021-38460
  • 任意のコマンドを実行される。結果として、ソフトウェアを無効化されたり、本来アクセスできないデータを閲覧、改ざんされたりする - CVE-2021-38458
  • MQTTを遠隔操作される - CVE-2021-38454

対策方法

アップグレードし、ワークアラウンドを実施する
開発者が提供する情報をもとに、当該製品をv3.2.4以降のバージョンにアップグレードしてください。
また、開発者は次のワークアラウンドの実施を推奨しています。

  • Windowsパスワードを定期的に変更し、ファイアウォールを使用する
  • multiple-site functionを使用する場合、Port 8883/tcpをブロックする。multiple-site functionを使用しない場合は、当該製品にアクセス可能なIPアドレスを制限する

参考情報

  1. ICS Advisory (ICSA-21-278-03)
    Moxa MXview Network Management Software

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia