JVNVU#92837755
Moxa製MXviewシリーズにおける複数の脆弱性

Moxa社が提供するMXviewシリーズには、複数の脆弱性が存在します。

• MXviewシリーズ v3.2.4およびそれ以前のバージョン

Moxa社が提供するMXviewは、産業用ネットワーク機器の設定や監視、診断を行うネットワーク管理用ソフトウェアです。MXviewには、次に挙げる複数の脆弱性が存在します。

• ハードコードされた認証情報の使用 (CWE-798) - CVE-2021-40390
  初期インストール時にPolling Engine Portと称する4430/tcpを使用するサービスが追加される。このサービスは、デフォルトのユーザー名とパスワードが設定されており、パスワード変更やアクセスを無効にする方法が明記されていない。また、80/tcpや443/tcpのWebアプリケーションなど、別のサービスで当該ユーザーのパスワードを変更してもPolling Engine Portで使用するユーザーのパスワードが変更されない。

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 10.0

• 機微な情報の平文通信 (CWE-319) - CVE-2021-40392
  初期インストール時にWebアプリケーションはHTTPプロトコルで通信するよう設定されており、認証情報が平文でやり取りされる。

  CVSS v3

  CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

  基本値: 5.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、細工されたHTTPリクエストを送信され、MXviewアプリケーション機能へ管理者権限でアクセスされる - CVE-2021-40390
• 遠隔の第三者によって、通信を傍受され、機微な情報を窃取される - CVE-2021-40392

CVE-2021-40390
アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、強化されたパスワードセキュリティの設定機能をサポートした次のバージョンをリリースしています。

• MXviewシリーズ v3.2.6

1. MXviewのデータベースをバックアップする
2. MXviewのサービスを停止する
3. 最新版のMXviewをダウンロードする
4. 最新版のMXviewをインストールする

• MXviewのインストールまたは起動時に、「HTTPポートを無効にする」機能をユーザーが手動でチェックする