公開日:2021/06/09 最終更新日:2021/06/09

JVNVU#91693325
Johnson Controls 製 Metasys Servers、Engines、SCT Tools に不適切な権限管理の脆弱性

概要

Johnson Controls 社が提供する Metasys Servers、Engines、SCT Tools には不適切な権限管理の脆弱性が存在します。

影響を受けるシステム

  • Metasys すべてのバージョン

詳細情報

Johnson Controls 社が提供する Metasys Servers、Engines、SCT Tools には、不適切な権限管理の脆弱性 (CWE-269、CVE‐2021‐27657) が存在します。

想定される影響

認証された遠隔の第三者が Metasys サーバのファイルシステムへの権限を昇格し、特別に細工されたウェブメッセージを Metasys システムに送信することで、システムファイルにアクセスされたり変更される可能性があります。

対策方法

アップグレードする
v9.0 より前のバージョンを使用している場合、開発者が提供する情報をもとに、最新版にアップグレードしてください。

パッチを適用する
v9.0 (engine のみ)、v10.0、v10.1、 v11.0 を使用している場合、開発者が提供する情報をもとに、パッチを適用してください。

ワークアラウンドを実施する
開発者は次のワークアラウンドの適用を推奨しています。

  • 活動中および休眠中のすべてのユーザアカウントを確認し、休眠中のユーザーアカウントが必要か判断する
  • Metasys を使用する必要のないユーザーアカウントを削除する
  • v10.1 およびそれ以降の Metasys Server を使用している場合は、監査ログと Cyber Health Dashboard を監視し、ユーザの活動を調査する
  • Metasys サイトのパスワードを定期的に変更する

ベンダ情報

ベンダ リンク
Johnson Controls Product Security Advisory : JCI-PSA-2021-05

参考情報

  1. ICS Advisory (ICSA-21-159-01)
    Johnson Controls Metasys

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
基本値: 8.8

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia