公開日：2020/12/11　最終更新日：2020/12/11

JVNVU#98190554
Host Engineering 製 ECOM100 Module に不適切な入力検証の脆弱性

概要

Host Engineering 社が提供する ECOM100 Moduke には不適切な入力検証の脆弱性が存在します。

影響を受けるシステム

  • H0-ECOM100 Module
    • Version 6x およびそれ以前ハードウェアかつ Version 4.0.348 およびそれ以前のファームウェア
    • Version 7x のハードウェアかつ Version 4.1.113 およびそれ以前のファームウェア
    • Version 9x のハードウェアかつ Version 5.0.149 およびそれ以前のファームウェア
  • H2-ECOM100 Module
    • Version 5x のハードウェアかつ Version 4.0.2148 およびそれ以前のファームウェア
    • Version 8x のハードウェアかつ Version 5.0.1043 およびそれ以前のファームウェア
  • H4-ECOM100 Module: Version 4.0.2148 およびそれ以前のハードウェア

詳細情報

Hosting Engineering 社が提供する ECOM100 Module は、Hosting Engineering 製の機器でイーサネットを使用したデータ通信を可能にするための拡張モジュールです。ECOM100 Module には、当該製品に組み込まれた Web サーバ経由で機器の設定を行う際、クライアント側でしか入力値の検証がされない、不適切な入力検証の脆弱性 (CWE-20) が存在します。

想定される影響

遠隔の第三者によって、入力値のチェックを回避して不適切な値が送信され、機器がクラッシュさせられる可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
Host Engineering 社は、同社のソフトウェアユーティリティ NetEdit3 の Live Update を使用して当該製品のアップデートを推奨しています。
 
ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
  • Web サーバの機能を無効にする

ベンダ情報

参考情報

  1. ICS Advisory (ICSA-20-345-02)
    Host Engineering H2-ECOM100 Module

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
基本値: 7.5
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-25195
JVN iPedia