公開日:2021/08/06 最終更新日:2021/08/06

JVNVU#92588420
Advantech製WebAccess/SCADAにおける複数の脆弱性

概要

Advantech社が提供するWebAccess/SCADAには、複数の脆弱性が存在します。

影響を受けるシステム

  • WebAccess/SCADA 8.4.5より前のバージョン(V8.4系)
  • WebAccess/SCADA 9.0.1より前のバージョン(V9.0系)

詳細情報

Advantech社が提供するWebAccess/SCADAは、ブラウザベースのSCADAソフトウェアパッケージです。WebAccess/SCADAには、次の複数の脆弱性が存在します。

  • クロスサイトスクリプティング (CWE-79) - CVE-2021-22676
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 基本値: 6.5
  • 相対的パストラバーサル (CWE-23) - CVE-2021-22674
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 基本値: 6.5
  • スタックベースのバッファオーバーフロー (CWE-121) - CVE-2021-32943
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって細工されたJavaScriptコードを送信されると、cookie/セッショントークンをハイジャックされたり、悪意のあるウェブサイトにリダイレクトされたり、ウェブブラウザ上で意図しない操作をさせられる - CVE-2021-22676
  • 遠隔の第三者によって、認証無しで当該製品のファイルやディレクトリにアクセスされる - CVE-2021-22674
  • 遠隔の第三者によって、任意のコードを実行される - CVE-2021-32943

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は本脆弱性の対策として次のバージョンをリリースしています。

  • WebAccess/SCADA V8.4系:Version 8.4.5
  • WebAccess/SCADA V9.0系:Version 9.0.1

ベンダ情報

ベンダ リンク
Advantech WebAccess/SCADA

参考情報

  1. ICS Advisory (ICSA-21-217-04)
    Advantech WebAccess SCADA

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia