公開日:2020/08/26 最終更新日:2020/09/10

JVNVU#96730728
Emerson 製 OpenEnterprise に不十分な暗号強度の脆弱性

概要

Emerson 社が提供する OpenEnterprise には、不十分な暗号強度の脆弱性が存在します。

影響を受けるシステム

  • OpenEnterprise 3.3.6 より前のすべてのバージョン

詳細情報

OpenEnterprise は Emerson が提供する産業用 SCADA ソフトウエアです。
OpenEnterprise には、不十分な暗号強度の脆弱性 (CWE-326) が存在します。

想定される影響

第三者によって、OpenEnterprise がフィールドデバイスや外部システムへのアクセスに使用している認証情報を窃取されるおそれがあります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

  • OpenEnterprise 3.3.6

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
ジェイティ エンジニアリング株式会社 該当製品無し 2020/09/10
ベンダ リンク
Emerson Electric Co. Emerson SupportNet (要ログイン)

参考情報

  1. ICS Advisory (ICSA-20-238-02)
    Emerson OpenEnterprise

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
基本値: 3.8
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-16235
JVN iPedia

更新履歴

2020/09/10
ジェイティ エンジニアリング株式会社のベンダステータスが更新されました