【活用ガイド】

JVNDB-2021-001882

Rockwell Automation 製 ISaGRAF5 Runtime に複数の脆弱性

概要

Rockwell Automation 社が提供する ISaGRAF5 Runtime には、次の複数の脆弱性が存在します。

　* 相対的パストラバーサル (CWE-23) - CVE-2020-25176
　* 認証情報の平文保存 (CWE-256) - CVE-2020-25184
　* 重要な情報の平文での送信 (CWE-319) - CVE-2020-25178
　* DLL ファイルの検索パスが適切に制御されていない (CWE-427) - CVE-2020-25182
　* ハードコードされた暗号鍵の使用 (CWE-321) - CVE-2020-25180
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 9.1 (緊急) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 9.3 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的
※上記は、CVE-2020-25176の評価になります。

CVSS v3 による深刻度
基本値: 7.8 (重要) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2020-25184の評価になります。

CVSS v3 による深刻度
基本値: 7.5 (重要) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2020-25178の評価になります。

CVSS v3 による深刻度
基本値: 6.7 (警告) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2020-25182の評価になります。

CVSS v3 による深刻度
基本値: 6.8 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2020-25180の評価になります。
影響を受けるシステム


GE Steam Power
  • ALSPA S6 MFC1000 すべてのバージョン
  • ALSPA S6 MFC3000 すべてのバージョン
Rockwell Automation
  • AADvance Controller Version 1.40 およびそれ以前
  • ISaGRAF Free Runtime (ISaGRAF6 Workbench Version 6.6.8 およびそれ以前に含まれる)
  • ISaGRAF Runtime Version 4.x 系、5.x 系 すべてのバージョン
  • Micro800 ファームウェア family すべてのバージョン
Xylem Inc.
  • MultiSmart ファームウェア Gen-1 Version 3.2.0 より前のバージョン
  • MultiSmart ファームウェア Gen-2 Version 3.2.0 より前のバージョン

ISaGRAF5 を使用する他の製品は [ベンダ情報] を参照してください。
想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受けるおそれがあります。

　* 遠隔の第三者によって、任意のコードを実行される - CVE-2020-25176
　* ローカルのユーザによって、パスワードおよび情報を窃取される - CVE-2020-25184
　* 遠隔の第三者によって、ファイルのアップロード、読み取り、削除をされる - CVE-2020-25178
　* ISaGRAF Runtime が Microsoft Windows 上で動作している場合、ローカルの第三者によって任意のコードを実行される - CVE-2020-25182
　* 遠隔の第三者によって、情報を窃取される - CVE-2020-25180
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。
開発者は本脆弱性を修正した ISaGRAF Runtime 5 Version 5.72.00 をリリースしています。

[ワークアラウンドを実施する]
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

　* 外部からの 1131/TCP、1132/TCP によるアクセスを制限する
　* ユーザまたはサービスアカウントの Runtime フォルダへのアクセス権を最小限にする
　* 適切なネットワークセグメンテーションとセキュリティ管理を行う
　* すべての制御システム機器のネットワーク露出を最小限に抑える
　* ファイアウォールの内側にある制御システムを特定する
　* 制御システムを他のネットワークから可能な限り分離する
　* ネットワークセグメンテーションについては Converged Plantwide Ethernet (CPwE) Design and Implementation Guide を参照して対策を実施する
　* ファイアウォール、UTM、VPN などを使用して適切なネットワーク制御を行う
　* ユーザーおよびサービスアカウントによるランタイム関連のフォルダへのアクセス許可は必要最小限の権限で行う
ベンダ情報

Rockwell Automation Schneider Electric Xylem Inc.
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 相対パストラバーサル(CWE-23) [IPA評価]
  2. 認証情報の平文保存(CWE-256) [IPA評価]
  3. 重要な情報の平文での送信(CWE-319) [IPA評価]
  4. ハードコードされた暗号鍵の使用(CWE-321) [IPA評価]
  5. 制御されていない検索パスの要素(CWE-427) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2020-25176
  2. CVE-2020-25184
  3. CVE-2020-25178
  4. CVE-2020-25182
  5. CVE-2020-25180
参考情報

  1. JVN : JVNVU#90811375
  2. National Vulnerability Database (NVD) : CVE-2020-25176
  3. National Vulnerability Database (NVD) : CVE-2020-25178
  4. National Vulnerability Database (NVD) : CVE-2020-25180
  5. National Vulnerability Database (NVD) : CVE-2020-25182
  6. National Vulnerability Database (NVD) : CVE-2020-25184
  7. ICS-CERT ADVISORY : ICSA-20-280-01
更新履歴

  • [2021年06月11日]
      掲載
  • [2021年06月21日]
      影響を受けるシステム：内容を更新
      ベンダ情報：Xylem (Xylem Product Security Advisory: XSA-2021-002) を追加
  • [2024年06月20日]
      CVSS による深刻度：内容を更新
      参考情報：National Vulnerability Database (NVD) (CVE-2020-25176) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2020-25184) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2020-25178) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2020-25182) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2020-25180) を追加

公表日2021/06/09
登録日2021/06/11
最終更新日2024/06/20