公開日:2021/06/16 最終更新日:2021/06/16

JVNVU#94696836
Automation Direct 製 CLICK PLC CPU Modules に複数の脆弱性

概要

Automation Direct 社が提供する CLICK PLC CPU Modules には、複数の脆弱性が存在します。

影響を受けるシステム

  • CLICK PLC CPU Modules: v3.00 より前のファームウェアを搭載した C0-1x CPU

詳細情報

Automation Direct 社が提供する CLICK PLC CPU Modules には、次の複数の脆弱性が存在します。

  • 別のパスやチャンネルを介した認証回避 (CWE-288) - CVE-2021-32980、CVE-2021-32984、CVE-2021-32986
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 重要な情報の平文での送信 (CWE-319) - CVE-2021-32982
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5
  • 認証情報の平文保存 (CWE-256) - CVE-2021-32978
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 既存の接続が有効な間に、遠隔の第三者によって PLC に接続される - CVE-2021-32980
  • 正規ユーザーが PLC のロックを解除している間に、遠隔の第三者によって許可なしにプロジェクトを読み取られる - CVE-2021-32984
  • プログラミングソフトウェアが中断された場合、PLC はロック解除されたままになり、以降のプログラミング接続が許可なしに行われる - CVE-2021-32986
  • ネットワークを監視できる第三者によって、平文のパスワード交換を覗き見られる - CVE-2021-32982
  • 遠隔の第三者によって過去に入力されたパスワードを読み取られ、PLC のロックを解除される - CVE-2021-32978

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者によれば、 Version 3.00 にて本脆弱性が修正されているとのことです。また開発者はユーザに対し、security guidelines に従うことを推奨しています。

ベンダ情報

ベンダ リンク
Automation Direct Software Downloads

参考情報

  1. ICS Advisory (ICSA-21-166-02)
    Automation Direct CLICK PLC CPU Modules

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia