公開日：2022/02/25 最終更新日：2022/02/25
JVNVU#97231041
Bently Nevada製3500機械保護システムにおける強度が不十分なパスワードハッシュの使用の脆弱性
Bently Nevada社（Baker Hughes子会社）が提供する3500機械保護システムには、強度が不十分なパスワードハッシュの使用の脆弱性が存在します。
- System 1 6.x 系 Part No. 3060/00 Version 6.98およびそれ以前（2020年12月リリース）
- System 1 Part No. 3071/xx 系および 3072/xx 系 Version 21.1 HF1およびそれ以前（2021年7月リリース）
- 3500 Rack Configuration Part No. 129133-01 Version 6.4およびそれ以前（2020年5月リリース）
- 3500/22M Firmware Part No. 288055-01 Version 5.05およびそれ以前（2021年5月リリース）
Bently Nevada社（Baker Hughes子会社）が提供する3500機械保護システムには、強度が不十分なパスワードハッシュの使用の脆弱性（CWE-916、CVE-2021-32997）が存在します。
当該製品は強度が不十分な暗号化アルゴリズムを使用して機微な情報を保存および転送しているため、遠隔の第三者によって認証情報を容易に窃取される可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、強化されたパスワードセキュリティの設定機能をサポートした次のバージョンをリリースしています。
3500機械保護システムにて強化されたパスワードセキュリティを使用すると、Version 21.2より前のバージョンのSystem 1との通信が切断されるとのことです。
- 3500 Rack Configuration Version 6.6
- System 1 Version 21.2
開発者によると、アップデートを適用できない場合には、次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。
- デバイス毎にユニークなパスワードを設定する
- 影響を受ける製品はセキュアなネットワーク上にのみ設置する
| ベンダ | リンク |
| Bently Nevada | 3500機械保護システム |
CVSS v3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
基本値:
8.2
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
