公開日:2020/05/22 最終更新日:2020/05/22

JVNVU#92478269
Schneider Electric 製 EcoStruxure Operator Terminal Expert に複数の脆弱性

概要

Schneider Electric が提供する EcoStruxure Operator Terminal Expert には、複数の脆弱性が存在します。

影響を受けるシステム

  • EcoStruxure Operator Terminal Expert 3.1 Service Pack 1 およびそれ以前 (旧製品名: Vijeo XD)

詳細情報

EcoStruxure Operator Terminal Expert は Schneider Electric が提供するオートメーションシステム制御向けタッチスクリーン設定用ソフトウェアです。EcoStruxure Operator Terminal Expert には次の複数の脆弱性が存在します。

  • SQLインジェクション (CWE-89) - CVE-2020-7493
    CVSS v3 CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H 基本値: 8.6
  • パストラバーサル (CWE-22) - CVE-2020-7494
    CVSS v3 CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H 基本値: 7.7
  • パストラバーサル (CWE-22) - CVE-2020-7495
    CVSS v3 CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N 基本値: 3.3
  • 引数の挿入または変更 (CWE-88) - CVE-2020-7496
    CVSS v3 CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N 基本値: 3.3
  • パストラバーサル (CWE-22) - CVE-2020-7497
    CVSS v3 CVSS:3.0/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H 基本値: 6.3

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 細工されたプロジェクトファイルを開いた際に、悪意のあるコードが実行される - CVE-2020-7493、CVE-2020-7494
  • 細工されたプロジェクトファイルを開いた際に、想定外のパスへ不正な書込みが行われる - CVE-2020-7495、CVE-2020-7496
  • コンピュータの起動時に、任意のアプリケーションが実行される - CVE-2020-7497

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
本脆弱性を修正した EcoStruxure Operator Terminal Expert Version 3.1 Service Pack 1A がリリースされています。
なお、Schneider Electric は CVE-2020-7497 について、アップデートを公開していません。下記の対策方法の実施をご検討ください。
 
ワークアラウンドを実施する - CVE-2020-7497
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
  • 信頼されたワークステーション上で、EcoStruxure Operator Terminal Expert を実行する
  • Windows の管理者権限で EcoStruxure Operator Terminal Expert を実行しない
  • セキュリティ対策を実施した堅牢なワークステーションと Schneider Electric が推奨するセキュアなネットワークを使用する
  • 情報漏えいと予期しないデータの変更を防ぐため、プロジェクトをセキュアに管理する
  • 信頼できるユーザにのみプロジェクトファイルのアクセスを許可する
  • プロジェクトファイルの保存時にパスワードを要求する
  • ユーザに複雑なパスワードを使用させる

ベンダ情報

ベンダ リンク
Schneider Electric EcoStruxure™ Operator Terminal Expert (Vijeo XD)

参考情報

  1. ICS Advisory (ICSA-20-142-02)
    Schneider Electric EcoStruxure Operator Terminal Expert

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-7493
CVE-2020-7494
CVE-2020-7495
CVE-2020-7496
CVE-2020-7497
JVN iPedia