公開日:2022/09/26 最終更新日:2022/09/26

JVNVU#97734401
Measuresoft製ScadaPro Serverにおける不適切なアクセス制御の脆弱性

概要

Measuresoft社が提供するScadaPro Serverには、不適切なアクセス制御の脆弱性が存在します。

影響を受けるシステム

  • ScadaPro Server version 6.7

詳細情報

Measuresoft社が提供するScadaPro Serverには、次の脆弱性が存在します。

  • サービスのセキュリティ記述子に一貫性のないパーミッションがあることに起因する、不適切なアクセス制御 (CWE-284) - CVE-2022-3263

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

  • 制限付き権限を持つローカルユーザによって、サービスのバイナリパスを変更され、当該製品がインストールされているWindowsシステムのSYSTEM権限で任意のコマンドを実行される

対策方法

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を回避することが可能です。

  • Orchestratorサービスへのフルアクセスを削除する
詳しくは、本件に対応するICS Advisoryの"4. MITIGATIONS"を確認、または開発者にお問い合わせください。

参考情報

  1. ICS Advisory (ICSA-22-265-01)
    Measuresoft ScadaPro Server

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia