【活用ガイド】

JVNDB-2021-002004

Ypsomed 製 mylife に複数の脆弱性

概要

Ypsomed 社が提供する mylife Cloud および、モバイルアプリケーションである mylife App には、複数の脆弱性が存在します。

Ypsomed 社が提供する mylife Cloud、mylife App には、次の複数の脆弱性が存在します。

　* 認証情報の不十分な保護 (CWE-522) - CVE-2021-27491
　* 認証情報の不十分な保護 (CWE-522) - CVE-2021-27495
　* CBC モードで使用する初期化ベクトルがランダム値ではない問題 (CWE-329) - CVE-2021-27499
　* ハードコードされた認証情報を使用している問題 (CWE-798) - CVE-2021-27503
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 6.3 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 5.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2021-27495の評価になります。

CVSS v3 による深刻度
基本値:5.8 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2021-27491の評価になります。

CVSS v3 による深刻度
基本値:5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
※上記は、CVE-2021-27499の評価になります。

CVSS v3 による深刻度
基本値:5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
※上記は、CVE-2021-27503の評価になります。
影響を受けるシステム


Ypsomed AG
  • Ypsomed mylife App 1.7.5 より前のすべてのバージョン
  • Ypsomed mylife Cloud 1.7.2 より前のすべてのバージョン

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

　* 遠隔の第三者によって、登録プロセス中に、ハッシュ化されたパスワード情報を窃取される - CVE-2021-27491
　* 製品にログインする際、HTTPS から HTTP のエンドポイントにリダイレクトした場合においても入力したユーザパスワードが保持されるため、遠隔の第三者によりパスワード情報を窃取される - CVE-2021-27495
　* アプリとクラウドサービスとの間で行われる通信の暗号化に用いる初期化ベクトル (IV) がランダム値でないため、中間者攻撃を行っている遠隔の第三者によってメッセージが窃取されたり改ざんされたりする - CVE-2021-27499
　* アプリとクラウドサービスとの間で通信を行う際に、ハードコードされた認証情報を用いて暗号化を行うため、中間者攻撃を行っている遠隔の第三者によってメッセージが窃取されたり改ざんされたりする - CVE-2021-27503
対策

[アップデートする]
Ypsomed 社が提供する情報をもとに、mylife App を最新版へアップデートしてください。Ypsomed は対応版として下記をリリースしています。

　* mylife App version 1.7.5

また、Ypsomed は mylife Cloud の該当バージョンについても対応済みとしています。
ベンダ情報

CWEによる脆弱性タイプ一覧  CWEとは?

  1. CBC モードにおけるランダムな初期化ベクトルの不使用(CWE-329) [IPA評価]
  2. 認証情報の不十分な保護(CWE-522) [IPA評価]
  3. ハードコードされた認証情報の使用(CWE-798) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-27491
  2. CVE-2021-27495
  3. CVE-2021-27499
  4. CVE-2021-27503
参考情報

  1. JVN : JVNVU#92529180
  2. National Vulnerability Database (NVD) : CVE-2021-27491
  3. National Vulnerability Database (NVD) : CVE-2021-27495
  4. National Vulnerability Database (NVD) : CVE-2021-27499
  5. National Vulnerability Database (NVD) : CVE-2021-27503
  6. ICS-CERT ADVISORY : ICSMA-21-196-01
更新履歴

  • [2021年07月19日]
      掲載

公表日2021/07/16
登録日2021/07/19
最終更新日2021/07/19