公開日:2022/03/10 最終更新日:2022/04/01

JVNVU#97043819
PTC製Axeda agentおよびAxeda Desktop Server for Windowsにおける複数の脆弱性

概要

PTC社が提供するAxeda agentおよびAxeda Desktop Server for Windowsには、複数の脆弱性が存在します。

影響を受けるシステム

  • Axeda agent全てのバージョン
  • Axeda Desktop Server for Windows全てのバージョン

詳細情報

PTC社が提供するAxeda agentおよびAxeda Desktop Server for Windowsには、次の複数の脆弱性が存在します。

  • ハードコードされた認証情報の使用 (CWE-798) - CVE-2022-25246
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25247
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 情報漏えい (CWE-200) - CVE-2022-25248
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値: 5.3
  • パストラバーサル (CWE-22) - CVE-2022-25249
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値: 7.5
  • 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25250
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
  • 重要な機能に対する認証の欠如 (CWE-306) - CVE-2022-25251
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 例外に対する不適切なチェックまたは処理 (CWE-703) - CVE-2022-25252
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、ハードコードされた資格情報を利用され、製品を制御される - CVE-2022-25246
  • 遠隔の第三者によって、特定のポートにコマンドを送信され、ファイルシステムにアクセスされたり、任意のコードが実行されたりする - CVE-2022-25247
  • 遠隔の第三者によって、特定のポートに接続され、イベントログを窃取される - CVE-2022-25248
  • 遠隔の第三者によって、Webサーバを介してファイルシステムの読み取り権限を取得される - CVE-2022-25249
  • 遠隔の第三者によって、特定のポートにコマンドを送信され、特定のサービスをシャットダウンされる - CVE-2022-25250
  • 遠隔の第三者によって、特定のポートにXMLメッセージを送信され、製品の構成を変更される - CVE-2022-25251
  • 遠隔の第三者によって、特定の入力を送信され、クラッシュされる - CVE-2022-25252

対策方法

アップデートする
開発者が提供する情報をもとに対策済みバージョンにアップデートしてください。

  • Axeda agent Version 6.9.2 build 1049
  • Axeda agent Version 6.9.3 build 1051
  • Axeda Desktop Server Version 6.9 build 215
ワークアラウンドを実施する
本脆弱性への影響を軽減するため、開発者が提供する情報をもとに回避策を適用してください。
  • ローカルホストインターフェイス(127.0.0.1)でのみリッスンするようにAxeda agentとAxeda Desktop Serverを構成する。
  • 各ユニットのAxedaDesktop.iniファイルに一意のパスワードを入力する。
  • ERemoteServerを本番環境で利用しない。
  • ホストデバイスからERemoteServerファイルを削除する。
  • インストールファイルを削除する。
  • ERemoteServerへの接続は信頼できるホストからのみ許可し、他のホストからの接続はブロックする。
  • ERemoteServerとAxeda Builder間のローカルホスト通信(127.0.0.1)を構成する。
  • Axeda Deployment Utilityへのログインに必要な認証情報用にAxeda agentを構成する。

参考情報

  1. ICS Advisory (ICSA-22-067-01)
    PTC Axeda agent and Axeda Desktop Server

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2022/03/11
[ベンダ情報]にリンクを追加しました。
2022/03/16
[ベンダ情報]にリンクを追加しました。
2022/04/01
[ベンダ情報]にリンクを追加しました。