【活用ガイド】

[English]

JVNDB-2023-002002

コンテック製 CONPROSYS HMI System（CHS）における複数の脆弱性

概要

株式会社コンテックが提供する CONPROSYS HMI System（CHS）には、次の複数の脆弱性が存在します。

　* パスワードの平文保存（CWE-256）- CVE-2023-28713
　* 重要なリソースに対する不適切なパーミッションの割り当て（CWE-732）- CVE-2023-28399
　* 不適切なアクセス制御（CWE-284）- CVE-2023-28657
　* クロスサイトスクリプティング（CWE-79）- CVE-2023-28651
　* サーバサイドリクエストフォージェリ（CWE-918）- CVE-2023-28824
　* SQL インジェクション（CWE-89）- CVE-2023-29154
　* インタラクション頻度の不適切な制限（CWE-799）- CVE-2023-2758

次の脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
CVE-2023-28713、CVE-2023-28399、CVE-2023-28657、CVE-2023-28651、CVE-2023-28824、CVE-2023-29154
報告者: Michael Heinzl 氏

次の脆弱性情報は、下記の方が製品開発者に直接報告し、製品開発者からの調整依頼にもどづきJPCERT/CCが報告者と開発者の調整を行いました。
CVE-2023-2758
報告者: Tenable, Inc.
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 8.8 (重要) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2023-28657 の評価になります。

CVSS v3 による深刻度
基本値:7.8 (重要) [その他]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
※上記は、CVE-2023-28399 の評価になります。

CVSS v3 による深刻度
基本値:6.7 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 低
※上記は、CVE-2023-29154 の評価になります。

CVSS v3 による深刻度
基本値:5.5 (警告) [その他]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2023-28713 の評価になります。

CVSS v3 による深刻度
基本値:4.8 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
※上記は、CVE-2023-28651 の評価になります。

CVSS v3 による深刻度
基本値:4.3 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2023-28824 の評価になります。

CVSS v3 による深刻度
基本値:3.7 (注意) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
※上記は、CVE-2023-2758 の評価になります。
影響を受けるシステム


株式会社コンテック
  • CONPROSYS HMI System (CHS) 3.5.3 より前のバージョン

想定される影響

CVE-2023-28713
データベースのアカウント情報がローカルフォルダのファイルに平文で保存されているため、当該製品がインストールされた PC にログイン可能なユーザーによってその情報を取得され、データベース内の情報の取得や改ざんがされる可能性があります。

CVE-2023-28399
当該製品がインストールされたローカルフォルダに対して明示的にACL（Access Control List）が設定されておらず、当該製品がインストールされたPCのユーザーに対して広範囲な権限が許可されています。その結果、当該製品がインストールされたPCのユーザーによって、システムの破壊や悪意あるプログラムの実行などが行われる可能性があります。

CVE-2023-28657
当該製品がインストールされた PC の一般ユーザーが管理者権限を取得する可能性があります。その結果、当該製品に関する情報の取得や改ざんがされる可能性があります。

CVE-2023-28651
当該製品に管理者権限でアクセスできるユーザーが細工した設定を行った場合、当該製品に管理者権限でアクセスした別のユーザーのウェブブラウザ上で、任意のスクリプトが実行される可能性があります。

CVE-2023-28824
当該製品に管理者権限でアクセスできるユーザーによって、クエリ設定画面で行っている接続先データベースの制限を回避され、意図しないデータベースに接続される可能性があります。

CVE-2023-29154
当該製品に管理者権限でアクセスできるユーザーによって、クエリ設定画面への細工された入力を通じて任意の SQL 文を実行される可能性があります。

CVE-2023-2758
不正な認証の繰り返しを制限する為の処理が適切でないため、遠隔の第三者によって HTTP ヘッダ内に特定の要素を含んだリクエストを繰り返すことで、当該製品にユーザーがログインできない状況にする可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに最新版にアップデートしてください。
開発者は本脆弱性を修正した Ver.3.5.3 をリリースしています。
ベンダ情報

株式会社コンテック
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 認証情報の平文保存(CWE-256) [その他]
  2. 不適切なアクセス制御(CWE-284) [その他]
  3. 重要なリソースに対する不適切なパーミッションの割り当て(CWE-732) [その他]
  4. クロスサイトスクリプティング(CWE-79) [その他]
  5. インタラクション頻度の不適切な制御(CWE-799) [その他]
  6. SQLインジェクション(CWE-89) [その他]
  7. サーバサイドのリクエストフォージェリ(CWE-918) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2023-28713
  2. CVE-2023-28399
  3. CVE-2023-28657
  4. CVE-2023-28651
  5. CVE-2023-28824
  6. CVE-2023-29154
  7. CVE-2023-2758
参考情報

  1. JVN : JVNVU#93372935
  2. National Vulnerability Database (NVD) : CVE-2023-2758
  3. National Vulnerability Database (NVD) : CVE-2023-28399
  4. National Vulnerability Database (NVD) : CVE-2023-28651
  5. National Vulnerability Database (NVD) : CVE-2023-28657
  6. National Vulnerability Database (NVD) : CVE-2023-28713
  7. National Vulnerability Database (NVD) : CVE-2023-28824
  8. National Vulnerability Database (NVD) : CVE-2023-29154
更新履歴

  • [2023年06月01日]
      掲載
  • [2024年03月19日]
      参考情報：National Vulnerability Database (NVD) (CVE-2023-2758) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-28399) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-28651) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-28657) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-28713) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-28824) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-29154) を追加

公表日2023/05/31
登録日2023/06/01
最終更新日2024/03/19