JVNVU#96198617
コンテック製CONPROSYS IoT ゲートウェイ製品における複数の脆弱性

株式会社コンテックが提供するCONPROSYS IoT ゲートウェイ製品には、複数の脆弱性が存在します。

• M2M Gateway（5機種）
  • CPS-MG341-ADSC1-111 Ver.3.7.10およびそれ以前
  • CPS-MG341-ADSC1-931 Ver.3.7.10およびそれ以前
  • CPS-MG341G-ADSC1-111 Ver.3.7.10およびそれ以前
  • CPS-MG341G-ADSC1-930 Ver.3.7.10およびそれ以前
  • CPS-MG341G5-ADSC1-931 Ver.3.7.10およびそれ以前
• M2Mコントローラ コンパクトタイプ（9機種）
  • CPS-MC341-ADSC1-111 Ver.3.7.6およびそれ以前
  • CPS-MC341-ADSC1-931 Ver.3.7.6およびそれ以前
  • CPS-MC341-ADSC2-111 Ver.3.7.6およびそれ以前
  • CPS-MC341G-ADSC1-110 Ver.3.7.6およびそれ以前
  • CPS-MC341Q-ADSC1-111 Ver.3.7.6およびそれ以前
  • CPS-MC341-DS1-111 Ver.3.7.6およびそれ以前
  • CPS-MC341-DS11-111 Ver.3.7.6およびそれ以前
  • CPS-MC341-DS2-911 Ver.3.7.6およびそれ以前
  • CPS-MC341-A1-111 Ver.3.7.6およびそれ以前
• M2Mコントローラ スタックタイプ（5機種）
  • CPS-MCS341-DS1-111 Ver.3.8.8およびそれ以前
  • CPS-MCS341-DS1-131 Ver.3.8.8およびそれ以前
  • CPS-MCS341G-DS1-130 Ver.3.8.8およびそれ以前
  • CPS-MCS341G5-DS1-130 Ver.3.8.8およびそれ以前
  • CPS-MCS341Q-DS1-131 Ver.3.8.8およびそれ以前

株式会社コンテックが提供するCONPROSYS IoT ゲートウェイ製品には、次の複数の脆弱性が存在します。

• OSコマンドインジェクション (CWE-78) - CVE-2023-27917
  ネットワーク確認画面において、入力した値が適切に検証されないことにより、OSコマンドを実行可能

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.8

• 不十分な暗号強度 (CWE-326) - CVE-2023-27389
  ファームウェア更新ファイルの暗号強度が不十分なため、ファームウェア構造を解析可能

  CVSS v3

  CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

  基本値: 6.6

• アクセス制限不備 (CWE-284) - CVE-2023-23575
  本来管理者権限でのみアクセス可能なネットワーク確認画面に、通常権限でアクセス可能

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

  基本値: 4.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• ネットワーク確認画面にアクセス可能なユーザによって、任意のOSコマンドを実行される - CVE-2023-27917
• 攻撃者によって細工されたファームウェア更新ファイルをインストールされ、情報を改ざんされたり、サービス運用妨害（DoS）攻撃を引き起こされたり、任意のプログラムを実行されたりする - CVE-2023-27389
• ネットワーク確認画面にアクセス可能なユーザによって、本来閲覧権限のないネットワーク情報を窃取される - CVE-2023-23575

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• 本製品のネットワークの上流側にファイアウォールを設置する
• 本製品のネットワークアクセスを信頼できる閉域網で構成する
• 本製品のユーザ・パスワード設定を出荷時から変更する
• 本製品のユーザ・パスワード設定を定期的に変更する