【活用ガイド】

JVNDB-2020-007432

Tridium 製 Niagara に遠隔接続端末がタイムアウトしない脆弱性

概要

Tridium が提供する Niagara はビルディング・オートメーションシステムです。
Niagara には遠隔接続端末がタイムアウトしない脆弱性 (CWE-1088) が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.3 (警告) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 3.3 (注意) [NVD値]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 部分的
影響を受けるシステム


Tridium
  • Niagara 4.6.96.28、 4.7.109.20、 4.7.110.32、 4.8.0.110
  • Niagara Enterprise Security 2.4.31、 2.4.45、 4.8.0.35

想定される影響

当該システムとの TLS ハンドシェイク中にタイムアウトが発生した場合、接続終了処理に失敗する可能性があります。
その結果、当該システムのスレッドが停止する可能性があり、復旧には手動での再起動が必要となります。
対策

[アップデートする]
開発者が提供する情報をもとに、アップデートしてください。
開発者は本脆弱性を修正した次のバージョンをリリースしています。

* Niagara 4.9.0.198
* Niagara Enterprise Security 4.9.0.60

[ワークアラウンドを実施する]
開発者はアップデートに加え、次のワークアラウンドの適用を推奨しています。

* 当該システムのユーザリストを確認し、検証する
* 信頼できるユーザにのみ、イーサネットポートを含めたシステムへの物理アクセスを許可する
* 当該システムネットワークへのリモート接続が必要な場合は、VPN などのセキュアな接続を使用する
ベンダ情報

Tridium
CWEによる脆弱性タイプ一覧  CWEとは?

  1. タイムアウトのないリモートリソースの同期アクセス(CWE-1088) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2020-14483
参考情報

  1. JVN : JVNVU#99362875
  2. National Vulnerability Database (NVD) : CVE-2020-14483
  3. ICS-CERT ADVISORY : ICSA-20-224-03
更新履歴

  • [2020年08月13日]
      掲載

公表日2020/08/12
登録日2020/08/13
最終更新日2020/08/13