JVNVU#94696836
Automation Direct 製 CLICK PLC CPU Modules に複数の脆弱性

Automation Direct 社が提供する CLICK PLC CPU Modules には、複数の脆弱性が存在します。

• CLICK PLC CPU Modules: v3.00 より前のファームウェアを搭載した C0-1x CPU

Automation Direct 社が提供する CLICK PLC CPU Modules には、次の複数の脆弱性が存在します。

• 別のパスやチャンネルを介した認証回避 (CWE-288) - CVE-2021-32980、CVE-2021-32984、CVE-2021-32986

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 重要な情報の平文での送信 (CWE-319) - CVE-2021-32982

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

• 認証情報の平文保存 (CWE-256) - CVE-2021-32978

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 既存の接続が有効な間に、遠隔の第三者によって PLC に接続される - CVE-2021-32980
• 正規ユーザーが PLC のロックを解除している間に、遠隔の第三者によって許可なしにプロジェクトを読み取られる - CVE-2021-32984
• プログラミングソフトウェアが中断された場合、PLC はロック解除されたままになり、以降のプログラミング接続が許可なしに行われる - CVE-2021-32986
• ネットワークを監視できる第三者によって、平文のパスワード交換を覗き見られる - CVE-2021-32982
• 遠隔の第三者によって過去に入力されたパスワードを読み取られ、PLC のロックを解除される - CVE-2021-32978

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者によれば、 Version 3.00 にて本脆弱性が修正されているとのことです。また開発者はユーザに対し、security guidelines に従うことを推奨しています。