【活用ガイド】

[English]

JVNDB-2021-006117

IDEC 製 PLC に複数の脆弱性

概要

IDEC 株式会社が提供する PLC には、次の複数の脆弱性が存在します。

　* 保護されていない認証情報の送信（CWE-523）- CVE-2021-37400
　* 認証情報の平文保存（CWE-256）- CVE-2021-374010
　* 保護されていない認証情報の送信（CWE-523）- CVE-2021-20826
　* 認証情報の平文保存（CWE-256） - CVE-2021-20827

この脆弱性情報は、次の報告者が製品開発者に直接届出をし、製品開発者から JPCERT/CC に調整依頼があり、JPCERT/CC が報告者、製品開発者、ICS-CERT との調整を行い公表に至りました。
報告者: FM Approvals Khalid Ansari 氏
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.6 (重要) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
※上記は、CVE-2021-37400 の評価になります。

CVSS v3 による深刻度
基本値:7.6 (重要) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
※上記は、CVE-2021-37401 の評価になります。

CVSS v3 による深刻度
基本値:7.6 (重要) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
※上記は、CVE-2021-20826 の評価になります。

CVSS v3 による深刻度
基本値:7.6 (重要) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
※上記は、CVE-2021-20827 の評価になります。
影響を受けるシステム


IDEC株式会社
  • FC6A 形 MICROSmart All-in-One CPU モジュール v2.32 およびそれ以前
  • FC6A 形 MICROSmart Plus CPU モジュール v1.91 およびそれ以前
  • FC6B 形 MICROSmart All-in-One CPU モジュール v2.31 およびそれ以前
  • FC6B 形 MICROSmart Plus CPU モジュール v2.31 およびそれ以前
  • FT1A 形 コントローラ SmartAXIS Pro/Lite v2.31 およびそれ以前
  • WindEDIT Lite v1.3.1 およびそれ以前
  • WindLDR v8.19.1 およびそれ以前
  • データ ファイル マネージャー v2.12.1 およびそれ以前

詳しくは、開発者が提供する情報をご確認ください。
想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

　* 第三者によって PLC とソフトウエア間の通信からユーザーの認証情報が取得される。その結果、PLC ユーザープログラムをアップロード、改ざん、ダウンロードされたりする。 - CVE-2021-37400
　* ファイルサーバー、バックアップリポジトリ、SD カード等に保存された ZLD ファイルから、第三者によってユーザーの認証情報が取得される。その結果、PLC ユーザープログラムをアップロード、改ざん、ダウンロードされたりする。 - CVE-2021-37401
　* 第三者によって PLC とソフトウエア間の通信から PLC Web サーバーユーザーの認証情報が取得される。その結果、PLC Web サーバーへのフルアクセスを奪取され、PLC の出力を操作されたり、PLC を停止されたりする - CVE-2021-20826
　* ファイルサーバー、バックアップリポジトリ、SD カード等に保存された ZLD ファイルから、第三者によって PLC Web サーバーユーザーの認証情報が取得される。その結果、PLC Web サーバーへ接続し、PLC を乗っ取られることで、PLC の出力を操作されたり、PLC を停止されたりする - CVE-2021-20827
　* データファイルマネージャー v2.13.0およびそれ以降
対策

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。

　* FC6A 形 MICROSmart All-in-One CPU モジュール v2.40 およびそれ以降
　* FC6B 形 MICROSmart All-in-One CPU モジュール v2.40 およびそれ以降
　* FC6A 形 MICROSmart Plus CPU モジュール v2.00 およびそれ以降
　* FC6B 形 MICROSmart Plus CPU モジュール v2.40 およびそれ以降
　* FT1A 形コントローラ SmartAXIS Pro/Lite v2.40 およびそれ以降
　* WindLDR v8.20.0 およびそれ以降
　* WindEDIT Lite v1.4.0 およびそれ以降

[ワークアラウンドを実施する]
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
　* ネットワークに不審な機器が接続されないようネットワークを適切に管理する
　* PLC にアクセスできる機器を制限する
　* ZLD ファイルを適切に管理する

詳しくは、開発者が提供する情報をご確認ください。
ベンダ情報

IDEC株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 認証情報の平文保存(CWE-256) [その他]
  2. 認証情報の保護しない転送(CWE-523) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-37400
  2. CVE-2021-37401
  3. CVE-2021-20826
  4. CVE-2021-20827
参考情報

  1. JVN : JVNVU#92279973
  2. ICS-CERT ADVISORY : ICSA-22-006-03
更新履歴

  • [2021年12月27日]
      掲載
  • [2022年1月11日]
      参考情報：ICS-CERT ADVISORY (ICSA-22-006-03)を追加

公表日2021/12/24
登録日2021/12/27
最終更新日2022/01/11