公開日:2021/11/26 最終更新日:2021/11/26

JVNVU#94258185
OpenDDSにおける複数の脆弱性

概要

Object Computing, Inc.が提供するOpenDDSには、複数の脆弱性が存在します。

影響を受けるシステム

  • OpenDDS 3.18.1より前のバージョン

詳細情報

Object Computing, Inc.が提供するOpenDDSには、次の複数の脆弱性が存在します。

  • 長さパラメータの不整合の不適切な処理(CWE-130) - CVE-2021-38445
    CVSS v3 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H 基本値: 7.0
  • 非対称なリソース消費(CWE-405) - CVE-2021-38447
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H 基本値: 8.6
  • ネットワーク転送量の制限が不十分(CWE-406) - CVE-2021-38429
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H 基本値: 8.2

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、任意のコードを実行される - CVE-2021-38445
  • 遠隔の第三者によって、細工したパケットを受信した時に、サービス運用妨害 (DoS) 状態にされる - CVE-2021-38447
  • 遠隔の第三者によって、細工したパケットを受信した時に、サービス運用妨害 (DoS) 状態にされたり、情報が漏洩したりする - CVE-2021-38429

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ情報

ベンダ リンク
Object Computing, Inc. OpenDDS

参考情報

  1. ICS Advisory (ICSA-21-315-02)
    Multiple Data Distribution Service (DDS) Implementations

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia