公開日:2021/08/27 最終更新日:2021/08/27

JVNVU#99414749
複数のDelta Electronics製品に複数の脆弱性

概要

複数のDelta Electronics製品には、複数の脆弱性が存在します。

影響を受けるシステム

  • DIAEnergie バージョン 1.7.5およびそれ以前
  • DOPSoft バージョン 4.00.11およびそれ以前

詳細情報

Delta Electronicsが提供するDIAEnergieには次の脆弱性が存在します。

  • 強度が不十分なパスワードハッシュの使用(CWE-916)- CVE-2021-33003
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 基本値: 5.5
  • 代替パスまたはチャンネルを使用した認証回避(CWE-288)- CVE-2021-32967
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • 危険なタイプのファイルの無制限アップロード(CWE-434)- CVE-2021-32955
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • SQLインジェクション(CWE-89)- CVE-2021-32983、CVE-2021-38390、CVE-2021-38391、CVE-2021-38393
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値: 9.8
  • クロスサイトリクエストフォージェリ(CWE-352)- CVE-2021-32991
    CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N 基本値: 4.3
Delta Electronicsが提供するDOPSoftには次の脆弱性が存在します。
  • スタックベースのバッファオーバーフロー (CWE-121) - CVE-2021-33019
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • ハッシュ化されたパスワードを復元される - CVE-2021-33003
  • 遠隔の第三者によって、管理者アカウントを新規作成、ログインされ、管理者権限で操作される - CVE-2021-32967
  • 遠隔の第三者によって、任意のコードを実行される - CVE-2021-32955
  • 認証されていない遠隔の第三者によって、NT SERVICE\MSSQLSERVERのコンテキスト内で任意のコードを実行される - CVE-2021-32983、CVE-2021-38390、CVE-2021-38391、CVE-2021-38393
  • 遠隔の第三者によって、ユーザに意図しない動作をさせられる - CVE-2021-32991
  • 特別に細工されたプロジェクトファイルを読み込ませることで、任意のコードを実行される - CVE-2021-33019

対策方法

2021年8月29日現在、修正済みのバージョンは提供されていません。
開発者によると、次の情報が提供されています。

  • DIAEnergieのアップデートは2021年9月中旬にリリース予定とのことです。
  • DOPSoftの追加情報は開発者のサポートに問い合わせてください。

ベンダ情報

ベンダ リンク
Delta Electronics Contact Us

参考情報

  1. ICS Advisory (ICSA-21-238-03)
    Delta Electronics DIAEnergie
  2. ICS Advisory (ICSA-21-238-04)
    Delta Electronics DOPSoft

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia