JVNVU#97215148
複数のSchneider Electric製品に複数の脆弱性

複数のSchneider Electric製品には、複数の脆弱性が存在します。

CVE-2021-22784

• C-Bus Toolkit Versions 1.15.8およびそれ以前

• EcoStruxure Control Expert v15.0 SP1より前のすべてのバージョン
  • Unity Pro（EcoStruxure Control Experの旧名）すべてのバージョンを含む
• EcoStruxure Process Expertすべてのバージョン
  • EcoStruxure Hybrid DCS（EcoStruxure Process Expertの旧名）すべてのバージョンを含む
• SCADAPack RemoteConnect for x70すべてのバージョン

• EcoStruxure Control Expert v15.0 SP1

• Modicon M580 CPU（部品番号BMEP*およびBMEH*）すべてのバージョン
• Modicon M340 CPU（部品番号BMXP34*）すべてのバージョン

Schneider Electric社が提供する複数の製品には、次の脆弱性が存在します。

• 重要な機能に対する認証の欠如（CWE-306） - CVE-2021-22784

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

  基本値: 6.5

• 認証情報の不十分な保護（CWE-522） - CVE-2021-22778

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

  基本値: 8.6

• スプーフィングによる認証回避（CWE-290） - CVE-2021-22779

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 信頼できないデータのデシリアライズ（CWE-​502） - CVE-2020-12525

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.3

• 認証情報の不十分な保護（CWE-522） - CVE-2021-22780

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

  基本値: 7.1

• 認証情報の不十分な保護（CWE-522） - CVE-2021-22781

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 6.2

• 重要なデータの暗号化の欠如（CWE-​311） - CVE-2021-22782

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  基本値: 6.2

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、細工したWebページを使用してシステムへアクセスされる。 - CVE-2021-22784
• 権限を持たないユーザーによって、Derived Function Block（DFB）を読み取られたり、変更されたりする。 - CVE-2021-22778
• 遠隔の第三者によって、エンジニアリングソフトウェアとコントローラー間のModbus通信をスプーフィングされ、読み取りおよび書き込みモードでコントローラーへアクセスされる。 - CVE-2021-22779
• 細工されたプロジェクトファイルをエンジニアリングソフトウェアにロードすることで、エンジニアリングワークステーションでローカルコードが実行される。 - CVE-2020-12525
• 第三者によって、パスワードで保護されたプロジェクトファイルを表示および変更される。 - CVE-2021-22780
• プロジェクトファイルにアクセス可能な第三者によって、メールボックス認証に使用されるSMTP認証情報を窃取される。 - CVE-2021-22781
• プロジェクトファイルにアクセス可能な第三者によって、ネットワークおよびプロセス情報、認証情報、または知的財産を開示される。 - CVE-2021-22782

アップデートまたはワークアラウンドを実施する
Schneider Electric社が提供するSEVD-2021-194-04、SEVD-2021-194-01をもとに、最新版​にアップデートまたはワークアラウンドを実施してください。