JVNVU#94767496
Delta Electronics製DIALinkにおける複数の脆弱性

Delta Electronics社が提供するDIALinkには、複数の脆弱性が存在します。

• DIALink バージョン1.2.4.0およびそれ以前

Delta Electronics社が提供するDIALinkには、次の複数の脆弱性が存在します。

• 重要な情報の平文での送信 (CWE-319) - CVE-2021-38418

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

• クロスサイトスクリプティング (CWE-79) - CVE-2021-38428、CVE-2021-38488、CVE-2021-38407、CVE-2021-38403、CVE-2021-38411

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

  基本値: 5.5

• CSVファイルにおける数式要素の不適切な無害化処理 (CWE-1236) - CVE-2021-38424

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L

  基本値: 5.9

• 重要な情報の平文での保存 (CWE-312) - CVE-2021-38422

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.8

• DLLファイルの検索パスが適切に制御されていない (CWE-427) - CVE-2021-38416

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.8

• 不適切なデフォルトパーミッション (CWE-276) - CVE-2021-38420

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 7.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 第三者によって、中間者攻撃により情報を窃取される - CVE-2021-38418
• 遠隔の特権ユーザによって、任意のコードを実行される - CVE-2021-38428、CVE-2021-38488、CVE-2021-38407、CVE-2021-38403、CVE-2021-38411
• 遠隔の特権ユーザによって、スプレットシートを介して任意の数式を実行される - CVE-2021-38424
• ユーザによって、権限を昇格される - CVE-2021-38422
• ユーザによって、システムを乗っ取られる - CVE-2021-38416
• ユーザによって、インストールディレクトリを変更され、悪質なファイルをアップロードされる - CVE-2021-38420

2021年10月22日現在、本脆弱性への対策は提供されていません。Delta Electronics社は対策準備中とのことです。

ワークアラウンドを実施する
CISAは、以下のワークアラウンドを推奨しています。

• 制御システムデバイスおよびシステムにインターネットからのアクセスを制限する
• ファイアウォールで保護している制御システムネットワークおよびリモートデバイスをビジネスネットワークから分離する
• リモートアクセスが必要な場合、VPNなどの安全な方法を利用する（VPN自体にも脆弱性が存在する可能性があるため、最新版を利用するなど安全性を確保して利用してください）