公開日:2022/06/24 最終更新日:2022/06/24

JVNVU#97480672
Elcomplus製SmartICSに複数の脆弱性

概要

Elcomplusが提供するSmartICSには複数の脆弱性が存在します。

影響を受けるシステム

  • SmartICS v2.3.4.0

詳細情報

Elcomplusが提供するSmartICSのWeb HMIには次の複数の脆弱性が存在します。

  • クロスサイトスクリプティング (CWE-79) - CVE-2022-2140
  • ディレクトリトラバーサル (CWE-23) - CVE-2022-2106
  • アクセス制限不備 (CWE-284) - CVE-2022-2088

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

  • 当該HMIに接続したユーザのブラウザ上で任意のスクリプトが実行される - CVE-2022-2140
  • SmartICS管理下の任意のファイルにアクセスされる。ただし、攻撃を成功させるためにはSmartICSの管理権限が必要となる - CVE-2022-2106
  • SmartICSが稼働するサーバにおいて、任意のプロセスを終了させられる。ただし、攻撃を成功させるためにはSmartICSの管理権限が必要となる - CVE-2022-2088

対策方法

アップデートする
開発者によりアップデートが提供されています。
詳細は開発者が提供する情報をご確認ください。

参考情報

  1. ICS Advisory (ICSA-22-174-05)
    Elcomplus SmartICS

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia