【活用ガイド】

[English]

JVNDB-2022-000029

光洋電子工業製「Screen Creator Advance2」における認証回避の脆弱性

概要

光洋電子工業株式会社が提供する Screen Creator Advance2 は、同社製 HMI の画面開発ツールです。Screen Creator Advance2 には、遠隔操作用アカウント名設定の検証不備に起因した認証回避の脆弱性 (CWE-807) が存在します。

この脆弱性情報は、製品利用者への周知を目的に、開発者が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.0 (警告) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 2.1 (注意) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


光洋電子工業株式会社
  • Screen Creator Advance 2 Ver.0.1.1.3 Build01 より前のバージョン

なお、開発者によると次の製品が本脆弱性の影響を受けるとのことです。
  • HMI GC-A2シリーズ
    • GC-A22W-CW
    • GC-A24W-C(W)
    • GC-A26W-C(W)
    • GC-A24
    • GC-A24-M
    • GC-A25
    • GC-A26
    • GC-A26-J2
  • 遠隔操作用アプリケーション
    • Remote GC
想定される影響

遠隔操作用アプリケーションから HMI にアクセス可能な第三者によって、HMI 上で任意の操作を実行される可能性があります。結果として、HMI に保存されたデータが漏えい、削除、改ざんされたり、HMI を経由して機器を不正に操作されたりする可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。
  • Screen Creator Advance2 Ver.0.1.1.3 Build01

[ワークアラウンドを実施する]
開発者によると、遠隔操作機能を使用しない場合、次の回避策を適用することで本脆弱性の影響を回避することが可能とのことです。
  • 遠隔操作機能の使用を停止する

    • 遠隔操作許可設定を "True" から "False" に変更し、HMI に設定を上書きする

詳しくは、開発者が提供する情報をご確認ください。
ベンダ情報

光洋電子工業株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

  1. その他(CWE-Other) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2022-29518
参考情報

  1. JVN : JVN#50337155
更新履歴

  • [2022年05月09日]
      掲載

公表日2022/05/09
登録日2022/05/09
最終更新日2022/05/09