2022 年 6 月 15 日をもちまして、本ウェブサイトは Internet Explorer のサポートを終了いたします。
他のブラウザーをご利用いただき、当社ウェブサイトでの最適な閲覧体験をお楽しみください。

製品サポート

セキュリティアドバイザリ

概要

EDS-405Aシリーズ、EDS-408Aシリーズ、EDS-510Aシリーズ、IKS-G6824Aシリーズのイーサネットスイッチの脆弱性

  • アドバイザリーID: MCSA-190201
  • バージョン: 1.2
  • 公開日: 2019年2月1日
  • 参考:
    • CVE-2019-6518, CVE-2019-6563, CVE-2019-6526, CVE-2019-6524, CVE-2019-6559, CVE-2019-6557, CVE-2019-6522, CVE-2019-6565, CVE-2019-6520, CVE-2019-6561

MoxaのEDS-405Aシリーズ、EDS-408Aシリーズ、EDS-510Aシリーズ、IKS-G6824Aシリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

EDS-405A シリーズ、EDS-408A シリーズ、EDS-510A シリーズ

項目 脆弱性の種類 影響
1

パスワードの平文での保存

(CVE-2019-6518)

MoxaのEDS産業用スイッチはパスワードを平文で保存します。このパスワードはプロプライエタリなプロトコルにおける未加工の構成の読み出し機能によって露出する可能性があります。
2

予測可能なセッションID

(CVE-2019-6563)

MoxaのEDS産業用スイッチのWebサーバーにおけるCookie値が、適切な暗号化を用いて生成されていないために、攻撃者がそれを再利用して管理者のパスワードを復元できます。
注意:EDS-510Aのユーザーは、パッチを適用したファームウェアをアップグレードする必要はありません。緩和のためには「対策」セクションを参照してください。
3

機密データの暗号化の欠如

(CVE-2019-6526)

MoxaのEDS産業用スイッチが使用するプロプライエタリな管理用プロトコルが悪用され、管理用パスワードが漏えいする可能性があります。
4

過度の認証試行に対する不適切な制限

(CVE-2019-6524)

MoxaのEDS産業用スイッチは、多数の不成功の認証試行に対する十分な防止措置が実装されておらず、ブルートフォース攻撃の影響を受けやすくなっています。
5

リソース枯渇

(CVE-2019-6559)

MoxaのEDS産業用スイッチはプロプライエタリなプロトコルを使用しています。リモートアクセス権を持つ認証されたユーザーは、このプロトコルを利用し、巧妙に細工されたパケットを通じてサービス拒否を引き起こすことができます。

 

IKS-G6824A シリーズ

項目 脆弱性の種類 影響
1

アカウント設定パラメータ内のバッファオーバーフロー

(CVE-2019-6557)

Cookie値の長さの計算が不適切であるため、スタックオーバーフローが引き起こされます。これを利用して、攻撃者はデバイスの再起動を発生させたり、コードを実行したりすることができます。
2

複数のパラメータ内のバッファオーバーフロー

(CVE-2019-6557)

特定パラメータの制御されていないコンテンツのコピーによって複数のバッファオーバーフロー脆弱性が発生し、コードのリモート実行を許したり、デバイスの再起動が引き起こされたりする可能性があります。
3

デバイスメモリの読み出し

(CVE-2019-6522)

配列の境界チェックが適切に行われていないため、攻撃者が任意のアドレスのデバイスメモリを読み出せるようになっています。
4

破損したOSPFパケットの処理失敗

(CVE-2019-6559)

不正な形式のOSPF Helloパケットが脆弱なデバイスに送信されることで、そのデバイスが2、3分後に再起動されます。
5

複数のXSS

(CVE-2019-6565)

ユーザー入力の確認が不適切であるため、認証されていない攻撃者および認証された攻撃者がユーザーに対してXSS攻撃を実行できるようになっています。

6

Webインターフェースの不適切なアクセス制御

(CVE-2019-6520)

このスイッチには管理用のWebインターフェースが用意されていますが、権限がサーバー側で適切にチェックされていないため、読み取り専用ユーザーが構成を変更できるようになっています。

7

クロスサイトリクエストフォージェリ

(CVE-2019-6561)

攻撃者がユーザーによる認証の済んだWebブラウザを利用してWebアプリケーションを狙う場合に、クロスサイトリクエストフォージェリ(CSRF)が発生します。
影響を受ける製品およびソリューション

影響を受ける製品

影響を受ける製品とファームウェアバージョンは以下の通りです。

製品シリーズ 影響を受けるバージョン
EDS-405A シリーズ ファームウェアバージョン3.8以前
EDS-408A シリーズ ファームウェアバージョン3.8以前
EDS-510A シリーズ ファームウェアバージョン3.8以前
IKS-G6824A シリーズ ファームウェアバージョン5.6以前

 

対処方法

Moxaが提供するこの脆弱性の影響を受ける製品への対策は以下の通りです。

製品シリーズ 対処方法
EDS-405A, EDS-408A, and EDS-510A シリーズ

すべての脆弱性に対して、お客様にはパッチ適用済みのファームウェアをご請求いただけます。支援の必要な方は、Moxaのテクニカルサポートまでお問い合わせください。

脆弱性1、3、4、5に対して、セキュリティパッチにはGUIに有効化/無効化ボタンを搭載した暗号化タイプのMoxaサービスが追加されています。パッチのアップグレード後、ユーザーは「Moxa Service」を無効、「Moxa Service (Encrypted)」を有効にすることで、このリスクを解消できます。

脆弱性2に対して、ユーザーはパッチをインストールした後、Web構成を「https only」に設定する必要があります。

IKS-G6824A シリーズ

すべての脆弱性に対して、お客様にはパッチ適用済みのファームウェアをご請求いただけます。支援の必要な方は、Moxaのテクニカルサポートまでお問い合わせください。


脆弱性7に対して、ユーザーにはパッチをインストールした後、フォージェリ攻撃の防止のために、以下に挙げる推奨ブラウザを使用することが推奨されます。
 
推奨ブラウザ:Firefox v60以降、Opera v39以降、Chorme v51以降、またはEdge v16以降

 

謝辞

Positive TechnologiesのIvan B氏、Vyacheslav Moskvin氏、Sergey Fedonin氏、およびIlya Karpov氏、Evgeny Druzhinin氏、Georgy Zaytsev氏には、この脆弱性を報告し、製品のセキュリティ強化に向けて当社と協力し、お客様へのより良いサービスの提供を支援していただきました。この場をお借りして御礼申し上げます。

 

改訂履歴

バージョン 説明 公開日
1.0 最初の公開 2019年2月1日
1.1 1. 各脆弱性に対応するCVE IDを追加
2. EDS-405A、EDS-408A、EDS-510Aシリーズに関する脆弱性1、2、3の説明を一部変更
3. 対策の説明を一部変更
2019年7月16日
1.2 1. IKS-G6824について、影響を受けるファームウェアのバージョンを追加
2. IKS-G6824の脆弱性7(CVE-2019-6561)に対する推奨ブラウザの情報を追加
2019年9月7日

 

関連製品

EDS-405Aシリーズ · EDS-408Aシリーズ · EDS-510Aシリーズ · IKS-G6824Aシリーズ ·

  •   このページを印刷
  • My Moxaで保存したリストを管理および共有できます。
それを修正しましょう

潜在的なサイバーセキュリティの脆弱性について懸念がある場合は、弊社までご連絡ください。テクニカルサポートスタッフがご連絡いたします。

脆弱性を報告する
バッグに追加