公開日：2021/12/24　最終更新日：2022/01/07

JVNVU#92279973
IDEC製PLCに複数の脆弱性

概要

IDEC株式会社が提供するPLC（Programmable Logic Controller）には、複数の脆弱性が存在します。

影響を受けるシステム

  • CVE-2021-37400、CVE-2021-37401
    • FC6A形MICROSmart All-in-One CPUモジュール v2.32およびそれ以前
    • FC6B形MICROSmart All-in-One CPUモジュール v2.31およびそれ以前
    • FC6A形MICROSmart Plus CPUモジュール v1.91およびそれ以前
    • FC6B形MICROSmart Plus CPUモジュール v2.31およびそれ以前
    • FT1A形コントローラ SmartAXIS Pro/Lite v2.31およびそれ以前
    • WindLDR v8.19.1およびそれ以前
    • WindEDIT Lite v1.3.1およびそれ以前
    • データファイルマネージャー v2.12.1およびそれ以前
  • CVE-2021-20826、CVE-2021-20827
    • FC6A形MICROSmart All-in-One CPUモジュール v2.32およびそれ以前
    • FC6A形MICROSmart Plus CPUモジュール v1.91およびそれ以前
    • WindLDR v8.19.1およびそれ以前
    • WindEDIT Lite v1.3.1およびそれ以前
    • データファイルマネージャー v2.12.1およびそれ以前
詳しくは、開発者が提供する情報をご確認ください。

詳細情報

IDEC株式会社が提供するPLCには、次の複数の脆弱性が存在します。

  • 保護されていない認証情報の送信（CWE-523）- CVE-2021-37400
    CVSS v3 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L 基本値: 7.6
  • 認証情報の平文保存（CWE-256）- CVE-2021-37401
    CVSS v3 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L 基本値: 7.6
  • 保護されていない認証情報の送信（CWE-523）- CVE-2021-20826
    CVSS v3 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L 基本値: 7.6
  • 認証情報の平文保存（CWE-256） - CVE-2021-20827
    CVSS v3 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L 基本値: 7.6

想定される影響

  • 第三者によってPLCとソフトウエア間の通信からユーザーの認証情報が取得される。その結果、PLCユーザープログラムをアップロード、改ざん、ダウンロードされたりする。 - CVE-2021-37400
  • ファイルサーバー、バックアップリポジトリ、SDカード等に保存されたZLDファイルから、第三者によってユーザーの認証情報が取得される。その結果、PLCユーザープログラムをアップロード、改ざん、ダウンロードされたりする。 - CVE-2021-37401
  • 第三者によってPLCとソフトウエア間の通信からPLC Webサーバーユーザーの認証情報が取得される。その結果、PLC Webサーバーへのフルアクセスを奪取され、PLCの出力を操作されたり、PLCを停止されたりする -  CVE-2021-20826
  • ファイルサーバー、バックアップリポジトリ、SDカード等に保存されたZLDファイルから、第三者によってPLC Webサーバーユーザーの認証情報が取得される。その結果、PLC Webサーバーへ接続し、PLCを乗っ取られることで、PLCの出力を操作されたり、PLCを停止されたりする - CVE-2021-20827

対策方法

アップデートする
開発者が提供する情報をもとに、必要に応じてソフトウェアアップデートを適用してください。

  • FC6A形MICROSmart All-in-One CPUモジュール v2.40およびそれ以降
  • FC6B形MICROSmart All-in-One CPUモジュール v2.40およびそれ以降
  • FC6A形MICROSmart Plus CPUモジュール v2.00およびそれ以降
  • FC6B形MICROSmart Plus CPUモジュール v2.40およびそれ以降
  • FT1A形コントローラ SmartAXIS Pro/Lite v2.40およびそれ以降
  • WindLDR v8.20.0およびそれ以降
  • WindEDIT Lite v1.4.0およびそれ以降
  • データファイルマネージャー v2.13.0およびそれ以降
ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
  • ネットワークに不審な機器が接続されないようネットワークを適切に管理する
  • PLCにアクセスできる機器を制限する
  • ZLDファイルを適切に管理する
詳しくは、開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
IDEC株式会社 弊社PLCの脆弱性に関するご連絡

参考情報

  1. ICS Advisory (ICSA-22-006-03)
    IDEC PLCs

JPCERT/CCからの補足情報

CVE-2021-37400およびCVE-2021-37401は、報告者がMITREにCVE IDの申請をし、MITREによって採番されました。
CVE-2021-20826およびCVE-2021-20827は、報告者が開発者およびJPCERT/CCに届出をし、JPCERT/CCによって採番されました。
[関連文書]に掲載するCVE IDは、2021年04月9日から、JPCERT/CCがCNAとして採番したもののみ掲載することになりました。詳しくは
「JVN 脆弱性レポートの読み方の更新について (2021-04-16)」をご参照ください。

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、次の報告者が製品開発者に直接届出をし、製品開発者からJPCERT/CCに調整依頼があり、JPCERT/CCが報告者、製品開発者、ICS-CERTとの調整を行い公表に至りました。
報告者: FM Approvals Khalid Ansari 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2021-20826
CVE-2021-20827
JVN iPedia

更新履歴

2022/01/07
[参考情報]にICS Advisoryのリンクを追加しました