JVNVU#90826229
複数のMotorola Solutions製品における複数の脆弱性

Motorola Solutionsが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2022-30276

• MOSCAD IP gateway （IPGW）すべてのバージョン
• ACE IP gateway （CPU 4600）すべてのバージョン

• Motorola Solutions MDLCプロトコルパーサー バージョン4.80.0024、4.82.004、および4.83.001

• Motorola Solutions ACE1000 すべてのバージョン

Motorola Solutionsが提供する複数の製品には、複数の脆弱性が存在します。

• 重要な機能に対する認証の欠如（CWE-306） - CVE-2022-30276
• 非推奨暗号アルゴリズムの使用（CWE-327） - CVE-2022-30273
• 認証情報の平文保存（CWE-256） - CVE-2022-30275
• ハードコードされた暗号鍵の使用（CWE-321） - CVE-2022-30271、CVE-2022-30274
• ハードコードされた認証情報の使用（CWE-798） - CVE-2022-30270
• データの信頼性確認が不十分（CWE-345） - CVE-2022-30269、CVE-2022-30272

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、脆弱性のあるポートにアクセスされ、RTUの設定やロジックアプリケーションの操作などをされる - CVE-2022-30276
• 遠隔の第三者によって、メッセージの操作や、MDLCプロトコルパーサーのメモリを破損される - CVE-2022-30273
• 遠隔の第三者によって、wmdlcdrv.iniファイルに平文保存されているパスワードを悪用される - CVE-2022-30275
• 遠隔の第三者によって、ハードコードされたSSH秘密鍵を悪用され、リモートでコードを実行したり、構成を変更したり、サービス拒否（DoS）状態にされる - CVE-2022-30271
• 遠隔の第三者によって、ハードコードされた資格情報を悪用され、リモートでコードを実行したり、サービス拒否（DoS）状態にされる - CVE-2022-30270
• 遠隔の第三者によって、ハードコードされた暗号化キーを悪用され、デバイス構成を変更される - CVE-2022-30274
• 遠隔の高権限ユーザによって、細工したアプリケーションイメージを介して、リモートでコードを実行したり、サービス拒否（DoS）状態にされる - CVE-2022-30269
• 遠隔の高権限ユーザによって、細工したファームウェアイメージを介して、ファームウェアの操作をしたり、リモートでコードを実行したり、サービス拒否（DoS）状態にされる - CVE-2022-30272

ワークアラウンドを実施する
開発者は、ワークアラウンドの適用を推奨しています。
詳細は、開発者が提供する情報をご確認ください。

製品をアップグレードする
脆弱性CVE-2022-30269、CVE-2022-30270、CVE-2022-30271、CVE-2022-30272、CVE-2022-30274において、
開発者は影響の受ける製品をMC-EDGE intelligent RTUに置き換えることで脆弱性へ対応することが可能としています。