JVNVU#94079949
複数の Schneider Electric 製品における脆弱性

複数の Schneider Electric 製品には、脆弱性が存在します。

• IGSS Definition (Def.exe) V15.0.0.21140 およびそれ以前
• Modicon X80 BMXNOR0200H RTU SV1.70 IR22 およびそれ以前

Schneider Electric 社が提供する複数の製品には、次の脆弱性が存在します。

IGSS

• 境界外書き込み (CWE-787) - CVE-2021-22750、CVE-2021-22751、CVE-2021-22752、CVE-2021-22754、CVE-2021-22755

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 境域外読み取り (CWE-125) - CVE-2021-22753、CVE-2021-22756、CVE-2021-22757

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 初期化されていないポインタのアクセス (CWE-824) - CVE-2021-22758

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 解放済みメモリの使用 (Use-after-free) (CWE-416) - CVE-2021-22759

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 無効なポインタや参照の解放 (CWE-763) - CVE-2021-22760

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• バッファエラー (CWE-119) - CVE-2021-22761

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• ディレクトリトラバーサル (CWE-22) - CVE-2021-22762

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 情報漏えいの脆弱性 (CWE-200) - CVE-2021-22749

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

  基本値: 5.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

IGSS

• 第三者によって細工された、不正な CGF (Configuration Group File) ファイルをインポートした際に、データが損失する、またはコードを実行される - CVE-2021-22750、CVE-2021-22754、CVE-2021-22758、CVE-2021-22759、CVE-2021-22760
• 第三者によって細工された、不正な CGF (Configuration Group File) ファイルをインポートした際に、情報が窃取される、または任意のコードが実行される - CVE-2021-22751
• 第三者によって細工された、不正な CGF (Configuration Group File) ファイルをインポートした際に、情報が窃取される、またはコードが実行される - CVE-2021-22755、CVE-2021-22756、CVE-2021-22757、CVE-2021-22761
• 第三者によって細工された、不正な WSP (Workspace) ファイルをパースした際に、データが消失する、またはコードが実行される - CVE-2021-22752、CVE-2021-22753
• 第三者によって細工された、不正な CGF (Configuration Group File)、または WSP (Workspace) ファイルをインポートした際に、コードが実行される - CVE-2021-22762

• 遠隔の第三者によって細工された、HTTP リクエストを受信した際に、テレメトリーに用いる通信パラメータを含む RTU 設定に関して情報が窃取される - CVE-2021-22749

アップデートする
Schneider Electric 社が提供する情報をもとに、以下のバージョンにアップデートしてください。

IGSS

• IGSS Definition (Def.exe) V15.0.0.21042

• 信頼できない CGF や WSP ファイルをインポートしない

• 特定のメンテナンスや設定にのみ必要なため、不要な場合は Web (HTTP）サービスを Ecostruxure Control Expert アプリケーションより、無効化する（デフォルト設定では無効化されている）
• ネットワーク分離とファイヤーウォールにより、コントローラー上の Port 80 番宛の通信を、信頼できる通信に制限する
• BMXNOCモジュールを含むアーキテクチャで使用する場合は、Modicon Controllers Platform Cyber Security Reference Manual　の推奨事項に従って、Access Control Lists を設定する

• 機器の Web サーバーにアクセスするためのパスワードを変更する。セットアップページの Security リンクから HTTP アクセス権限のユーザー名とパスワードを更新する。