公開日:2021/08/06 最終更新日:2021/08/06

JVNVU#94730303
mySCADA製myPROに複数の脆弱性

概要

mySCADA社が提供するmyPROには、複数の脆弱性が存在します。

影響を受けるシステム

  • myPRO v8.20.0より前のすべてのバージョン

詳細情報

mySCADA社が提供するmyPROには、次の複数の脆弱性が存在します。

  • アクセス制御の不備(CWE-284) - CVE-2021-33013
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N 基本値: 8.2
  • 危険なタイプのファイルの無制限アップロード(CWE-434) - CVE-2021-33009
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N 基本値: 7.5
  • パストラバーサル(CWE-22) - CVE-2021-33005
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N 基本値: 7.5
  • ディレクトリ情報の露呈による情報漏えい(CWE-548) - CVE-2021-27505
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、システムの機微な情報を読み取られる ‐ CVE-2021-33013
  • 認証されていない遠隔の第三者によって、任意のファイルをファイルシステムへアップロードされる ‐ CVE-2021-33009
  • 認証されていない遠隔の第三者によって、任意のファイルを任意のディレクトリへアップロードされる ‐ CVE-2021-33005
  • 遠隔の第三者によって、機密性の高いディレクトリリスト情報を読み取られる ‐ CVE-2021-27505

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者はv8.20.0へアップデートすることを推奨しています。

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia