公開日:2021/12/22 最終更新日:2021/12/22

JVNVU#90153325
mySCADA製myPROに複数の脆弱性

概要

mySCADA社が提供するmyPROには、複数の脆弱性が存在します。

影響を受けるシステム

  • myPRO バージョン8.20.0およびそれ以前

詳細情報

mySCADA社が提供するmyPROには、次の複数の脆弱性が存在します。

  • 認証回避(CWE-288) - CVE-2021-43985
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値: 9.1
  • 強度が不十分なパスワードハッシュの使用(CWE-916) - CVE-2021-43989
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5
  • 隠れた機能(CWE-912) - CVE-2021-43987
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • OSコマンドインジェクション(CWE-78) - CVE-2021-44453、CVE-2021-22657、CVE-2021-23198、CVE-2021-43981、CVE-2021-43984
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 基本値: 10.0

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、認証や承認なしでアプリケーションにアクセスされる - CVE-2021-43985
  • MD5を使用してパスワードを保存しているため、第三者に取得されたパスワードハッシュを解読される - CVE-2021-43989
  • 文書化されていない管理アカウントが追加されており、Webインターフェイスを介して削除または変更ができない - CVE-2021-43987
  • 遠隔の第三者によって、任意のOSコマンドを実行される - CVE-2021-44453、CVE-2021-22657、CVE-2021-23198、CVE-2021-43981、CVE-2021-43984

 

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は8.22.0以降のバージョンへアップデートすることを推奨しています。

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia