公開日:2021/02/26 最終更新日:2021/02/26

JVNVU#91857323
ProSoft Technology 製 ICX35 におけるパスワード変更時の認証不備の脆弱性

概要

ProSoft Technology 製 ICX35-HWC-A および ICX35-HWC-E には、パスワード変更時の認証不備の脆弱性が存在します。

影響を受けるシステム

  • ICX35-HWC-A Versions 1.9.62 およびそれ以前
  • ICX35-HWC-E Versions 1.9.62 およびそれ以前

詳細情報

ProSoft Technology 製 ICX35-HWC-A および ICX35-HWC-E には、パスワード変更処理において認証不備の脆弱性が存在します。当該機器のユーザパスワードをWeb ページ上で変更する場合、現在のパスワードを入力する必要がありません。そのため、現在のパスワードを知らない場合でも、パスワードを変更することが可能です。

想定される影響

遠隔の第三者によって、該当機器のユーザパスワードが変更され、機器を停止されたり、設定変更されたりする可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ情報

ベンダ リンク
ProSoft Technology ICX35 Local Web Based Configuration Interface Password Set

参考情報

  1. ICS Advisory (ICSA-21-056-04)
    ProSoft Technology ICX35

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
基本値: 8.2
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2021-22661
JVN iPedia