【活用ガイド】

JVNDB-2018-003717

STARDOM コントローラに複数の脆弱性

概要

横河電機株式会社が提供する STARDOM コントローラには、複数の脆弱性が存在します。

横河電機株式会社が提供する STARDOM は、中小規模工場向け PLC 計装システムです。STARDOM コントローラには、次の複数の脆弱性が存在します。

 * アカウント ID およびパスワード情報がハードコードされている問題 (CWE-798) - CVE-2018-10592
 * 情報漏えい (CWE-200) - CVE-2018-17900
 * リモート管理機能に対するサービス運用妨害 (DoS) (CWE-119) - CVE-2018-17902
 * メンテナンス機能の認証情報がハードコードされている問題 (CWE-798) - CVE-2018-17896
 * コントローラの HTTP サービスに対するサービス運用妨害 (DoS) (CWE-119) - CVE-2018-17898
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 8.1 (重要) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 9.3 (危険) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的
※上記は、CVE-2018-10592の評価になります。


CVSS v3 による深刻度
基本値: 9.4 (緊急) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 7.5 (危険) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
※上記は、CVE-2018-17900 の評価になります。


CVSS v3 による深刻度
基本値: 5.3 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 5.0 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 部分的
※上記は、CVE-2018-17902の評価になります。


CVSS v3 による深刻度
基本値: 8.3 (重要) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 7.5 (危険) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
※上記は、CVE-2018-17896の評価になります。


CVSS v3 による深刻度
基本値: 5.3 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 5.0 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 部分的
※上記は、CVE-2018-17898の評価になります。
影響を受けるシステム


横河電機株式会社
  • STARDOM FCJ R4.02 およびそれ以前
  • STARDOM FCJ R4.10 およびそれ以前
  • STARDOM FCN-100 R4.02 およびそれ以前
  • STARDOM FCN-100 R4.10 およびそれ以前
  • STARDOM FCN-500 R4.02 およびそれ以前
  • STARDOM FCN-500 R4.10 およびそれ以前
  • STARDOM FCN-RTU R4.02 およびそれ以前
  • STARDOM FCN-RTU R4.10 およびそれ以前

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

 * 遠隔の第三者によって、コントローラにログインされ、任意のコマンドを実行される - CVE-2018-10592
 * 遠隔の第三者によって、コントローラのリモート管理機能へアクセスするための認証情報を取得される - CVE-2018-17900
 * 遠隔の第三者によって、コントローラのリモート管理機能に対するサービス運用妨害 (DoS) 攻撃が行われる - CVE-2018-17902
 * 遠隔の第三者によって、コントローラのメンテナンス機能にログインされ、情報を取得、改ざんされる - CVE-2018-17896
 * 遠隔の第三者によって、コントローラの HTTP サービスに対するサービス運用妨害 (DoS) 攻撃が行われる - CVE-2018-17898
対策

[アップデートする] - CVE-2018-10592
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を STARDOM FCN/FCJ R4.10 で修正しています。

詳しくは開発者が提供する情報をご覧ください。

[ソフトウエアのアップデート、アクセス制限およびネットワーク構成の再検討] - CVE-2018-17900, CVE-2018-17902, CVE-2018-17896, CVE-2018-17898
当該製品で使用されている FCN/FCJ 基本ソフトウエアを R4.20 以降にアップデートするとともに、当該製品との通信は信頼できる相手のみに制限してください。さらに通信内容を第三者に傍受されないようネットワーク構成を見直してください。詳しくは、製品開発者が提供する情報をご覧ください。
ベンダ情報

横河電機株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2018-10592
  2. CVE-2018-17900
  3. CVE-2018-17902
  4. CVE-2018-17896
  5. CVE-2018-17898
参考情報

  1. JVN : JVNVU#92639220
  2. National Vulnerability Database (NVD) : CVE-2018-10592
  3. National Vulnerability Database (NVD) : CVE-2018-17896
  4. National Vulnerability Database (NVD) : CVE-2018-17898
  5. National Vulnerability Database (NVD) : CVE-2018-17900
  6. National Vulnerability Database (NVD) : CVE-2018-17902
  7. ICS-CERT ADVISORY : ICSA-18-151-03
更新履歴

  • [2018年06月04日]
      掲載
  • [2018年10月22日]
      タイトル:内容を更新
      概要:内容を更新
      CVSS による深刻度:内容を更新
      影響を受けるシステム:内容を更新
      想定される影響:内容を更新
      対策:内容を更新
      ベンダ情報:横河電機株式会社 (YSAR-18-0007: STARDOMコントローラに複数の脆弱性) を追加
      参考情報:Common Vulnerabilities and Exposures (CVE)(CVE-2018-17900) を追加
      参考情報:Common Vulnerabilities and Exposures (CVE)(CVE-2018-17902) を追加
      参考情報:Common Vulnerabilities and Exposures (CVE)(CVE-2018-17896) を追加
      参考情報:Common Vulnerabilities and Exposures (CVE)(CVE-2018-17898) を追加
  • [2019年07月24日]
      参考情報:National Vulnerability Database (NVD) (CVE-2018-10592) を追加
      参考情報:National Vulnerability Database (NVD) (CVE-2018-17900) を追加
      参考情報:National Vulnerability Database (NVD) (CVE-2018-17902) を追加
      参考情報:National Vulnerability Database (NVD) (CVE-2018-17896) を追加
      参考情報:National Vulnerability Database (NVD) (CVE-2018-17898) を追加