JVNVU#97253681
複数の Schneider Electric 製品に脆弱性

Schneider Electric が提供する Triconex TriStation および Tricon Communication Module には、複数の脆弱性が存在します。

• Windows NT, Windows XP, もしくは Windows 7 上で動作する TriStation 1131 v1.0.0 から v4.9.0, v4.10.0 および 4.12.0
• Tricon v10.0 to v10.5.3 systems にインストールされた Tricon Communications Module (TCM) Models 4351, 4352, 4351A/B および 4352A/B

Triconex TriStation および Tricon Communication Module は Schneider Electric が提供する安全計装システム Triconex の関連製品です。Triconex TriStation および Tricon Communication Module には次の複数の脆弱性が存在します。

• 重要な情報の平文での送信 (CWE-319) - CVE-2020-7483

  CVSS v3

  CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N

  基本値: 5.3

• 無制限なリソース消費 (CWE-400) - CVE-2020-7484

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 隠し機能 (CWE-912) - CVE-2020-7485

  CVSS v3

  CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

  基本値: 5.5

• リソースの枯渇 (CWE-400) - CVE-2020-7486

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 不適切なアクセス制御 (CWE-284) - CVE-2020-7491

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 10.0

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• TriStation 1131 Versions 1.0 から 4.12.0 において、パスワード機能が有効になっている場合、遠隔の第三者によって機微なデータがネットワークから参照される - CVE-2020-7483
• TriStation 1131 Versions 1.0 から 4.12.0 において、ユーザが TriStation 1131 への接続およびキースイッチの保護に関するガイドラインに沿っていない場合、遠隔の第三者によって、サービス運用妨害 (DoS) 状態が引き起こされる - CVE-2020-7484
• TriStation 1131 Versions 1.0 から 4.9.0 および 4.10.0 のレガシーサポートアカウントを使用するユーザによって、TriStation 1131 のプロジェクトファイルに不適切なアクセスが行われる - CVE-2020-7485
• Tricon system Versions 10.0.0 から 10.4.x にインストールされた TCM はネットワーク負荷が高い状況でリセットされるため、遠隔の第三者によって TCM がリセットされ、安全計装システムをサービス運用妨害 (DoS) 状態にされる - CVE-2020-7486
• Tricon system Versions 10.2.0 から 10.5.3 にインストールされた TCM のレガシーデバッグポートアカウントを遠隔の第三者に参照され、不正アクセスされる - CVE-2020-7491

アップデートする
開発者が提供する情報をもとに、対策版にアップデートしてください。
今回の脆弱性に対処したバージョンがリリースされています。

• TriStation v4.9.1 および v4.10.1 が 2013年5月30日に、4.13.0 が 2015年1月26日にそれぞれリリース済み.
• Tricon v10.5.0 が 2009年8月13日に、v10.5.4 が 2012年2月2日にそれぞれリリース済み

• ファイアウォールを使用して制御および安全システムのネットワークとリモートデバイスを業務用ネットワークから分離する
• 許可されていない人員が制御および安全システム、コンポーネント、周辺機器、ネットワークにアクセスできないように、物理的な制限を行う
• すべてのコントローラは施錠されたキャビネットに設置し、"Program" モードのまま放置しない
• CD や USB 機器を使用したデータ交換については、ネットワークに接続されたターミナルまたはノードで使用する前にスキャンする
• 意図したネットワーク以外の他のネットワークに接続されているノートパソコンを、事前の検疫をせずに安全または制御ネットワークに接続しない
• すべての制御システムおよびデバイスのネットワーク公開を最小化し、インターネットからアクセスできないことを確認する
• リモート接続が必要な場合、VPN のような安全な接続手段を用いる。VPN は脆弱性がある可能性を考慮し、最新版にアップデートする。また、VPN の安全性は接続した機器と同じレベルであることを認識する

• Triconex ソリューションのサイバーセキュリティ機能が常に有効になっていることを確認する
• 安全システムは常に隔離されたネットワーク上に配置する
• すべての TriStation エンジニアリングワークステーションの安全を確保し、安全なネットワーク以外のネットワークには接続しない
• Tricon のキースイッチが "Program" モードになっている場合は常にアラームを表示するようにオペレータステーションを設定する