公開日：2021/12/10 最終更新日：2021/12/10
JVNVU#92249787
複数のHitachi Energy製品における不適切なアクセス制御の脆弱性
Hitachi Energy社が提供する複数の製品には、不適切なアクセス制御の脆弱性が存在します。
- GMS600 Version 1.2.0
- GMS600 Version 1.3.0
- GMS600 Version 1.3.1.0
- PWC600 Version 1.1.0.0
- PWC600 Version 1.1.0.1
- PWC600 Version 1.0.1.0
- PWC600 Version 1.0.1.1
- PWC600 Version 1.0.1.3
- PWC600 Version 1.0.1.4
- Relion 670/650 series Version 2.2.0すべてのリビジョン
- Relion 670/650/SAM600-IO series Version 2.2.1すべてのリビジョン
- Relion 670 series Version 2.2.2すべてのリビジョン
- Relion 670 series Version 2.2.3リビジョン2.2.3.4およびそれ以前
- Relion 670/650 series Version 2.2.4すべてのリビジョン
- Relion 670/650/SAM600-IO series Version 2.2.5リビジョン2.2.5.1およびそれ以前
- Relion 670/650 series Version 2.1すべてのリビジョン
- Relion 670 series Version 2.0すべてのリビジョン
- Relion 650 series Version 1.3すべてのリビジョン
- Relion 650 series Version 1.2すべてのリビジョン
- Relion 650 series Version 1.1すべてのリビジョン
- Relion 650 series Version 1.0すべてのリビジョン
Hitachi Energy社が提供する複数の製品には、不適切なアクセス制御の脆弱性（CWE-284、CVE-2021-35534）が存在します。
遠隔のユーザによって、独自のOpen Data-base Connectivity（ODBC）プロトコル（TCP 2102）にアクセスする構成ツールを介して権限昇格され、デバイスを不正に変更されたり、永続的に無効化されたりする。
アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
- Relion 670 series Version 2.2.3.5
- Relion 670/650/SAM600-IO series Version 2.2.5.2
- Relion 650 series Version 1.3.0.8
- Relion 650 series Version 1.3
ワークアラウンドを実施する
開発者は次のワークアラウンドの適用を推奨しています。
- プロセス制御システムに対する担当者以外のアクセスを物理的に防ぐ
- インターネットに直接接続しない
- ファイアウォールで、公開ポートを最小限にして他のネットワークから分離する
- プロセス制御システムをインターネット上のWebサイトの閲覧、インスタントメッセージ、電子メールの受信等に使用しない
- 変電所内のデバイス構成に対してのみ、Open Data-base Connectivity（ODBC）プロトコルを制限する
- ポータブルコンピュータやリムーバブルメディアはウィルススキャンをかけてから制御システムに接続する
CVSS v3
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
基本値:
7.2
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
