製品サポート

セキュリティアドバイザリ

概要

MB3170/MB3180/MB3270/MB3280/MB3480/MB3660シリーズのプロトコルゲートウェイの脆弱性

  • バージョン: V1.0
  • 公開日: 2019年9月25日
  • 参考:
    • CVE-2019-9099, CVE-2019-9098, CVE-2019-9102, CVE-2019-9095, CVE-2019-9103, CVE-2019-9101, CVE-2019-9096, CVE-2019-9104, CVE-2019-9097

MoxaのMB3170/MB3180/MB3270/MB3280/MB3480/MB3660シリーズのプロトコルゲートウェイに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックベースのバッファオーバーフロー(CWE-121)、CVE-2019-9099 別々の2件の問題が影響して、組み込みのWebサーバーのバッファオーバーフローが発生します。これによりリモートの攻撃者がDoS攻撃を開始して、任意のコードを実行できるようになっています。
2 整数のオーバーフローが引き起こすバッファオーバーフロー(CWE-680)、CVE-2019-9098 整数のオーバーフローによって予期しないメモリ割り当てが発生し、バッファオーバーフローにつながる可能性があります。
3 トークンの利用によるCSRF保護メカニズムのバイパス(CWE-352)、CVE-2019-9102 トークン生成メカニズムが予測可能であるため、リモートの攻撃者がクロスサイトリクエストフォージェリ(CSRF)保護メカニズムをバイパスできます。
4 破られている、またはリスクのある暗号アルゴリズムの使用(CWE-327)、CVE-2019-9095 予測可能な変数を用いた脆弱な暗号アルゴリズムの使用により、機密情報が漏えいする可能性があります。
5 情報露出(CWE-200)、CVE-2019-9103 攻撃者が組み込みのWebサービスを通じて、適切な許可なしに機密情報とユーザー名にアクセスできます。
6 ユーザーの資格情報の平文送信(CWE-310)、CVE-2019-9101 一部のWebアプリケーションで機密情報が平文送信されます。
7 脆弱なパスワード要件(CWE-521)、CVE-2019-9096 パスワード要件が脆弱であるために、攻撃者がブルートフォースを使用してアクセス権を獲得できる可能性があります。
8 機密情報の平文保存(CWE-312)、CVE-2019-9104 機密情報が構成ファイル内に平文保存されるため、攻撃者による管理アカウントの使用が可能になっています。
9 サービス拒否攻撃(CWE-400、CWE-941)、CVE-2019-9097 攻撃者がシステムに過度の負荷を与えたり、サービスをクラッシュさせたりすることで、Webサービスが一時的に利用不能になります。
影響を受ける製品およびソリューション

影響を受ける製品

影響を受ける製品とファームウェアバージョンは以下の通りです。

製品シリーズ 影響を受けるバージョン
MB3170 シリーズ ファームウェアバージョン4.0以前
MB3270 シリーズ ファームウェアバージョン4.0以前
MB3180 シリーズ ファームウェアバージョン2.0以前
MB3280 シリーズ ファームウェアバージョン3.0以前
MB3480 シリーズ ファームウェアバージョン3.0以前
MB3660 シリーズ ファームウェアバージョン2.0以前

 

対処方法

Moxaが提供するこの脆弱性の影響を受ける製品への対策は以下の通りです。

製品シリーズ 対処方法
MB3170 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。
MB3270 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。
MB3180 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。

脆弱性5および7に対し、Moxaは以下の手順に従って潜在的なリスクを緩和することをお客様に推奨しています。
  1. 最新のファームウェアにアップグレードし、HTTP通信とTelnet通信を無効にする。
  2. Moxaのユーティリティ(MGate Manager、NPort Administration Suite Utility)を使用して、デバイス構成を変更したり、デバイスの状態をリモートで監視したりする。
  3. VPNトンネルを使用して、デバイスとホストPCの間のセキュアかつ保護された接続を確保する。
MB3280 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。
MB3480 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。
MB3660 シリーズ 新しいファームウェア/ソフトウェアをこちらからダウンロードしてください。

 

謝辞

Rostelecom-SolarのIlya Karpov氏とEvgeniy Druzhinin氏、およびPositive TechnologiesのMaxim Kozhevnikov氏には、これらの脆弱性を報告し、製品のセキュリティ強化に向けて当社と協力し、お客様へのより良いサービスの提供を支援していただきました。この場をお借りして御礼申し上げます。

 

改訂履歴

バージョン 説明 公開日
1.0 最初の公開 2019年9月25日

関連製品

MGate MB3170/MB3270シリーズ · MGate MB3180/MB3280/MB3480シリーズ · MGate MB3660シリーズ ·

  •   このページを印刷
  • My Moxaで保存したリストを管理および共有できます。
それを修正しましょう

潜在的なサイバーセキュリティの脆弱性について懸念がある場合は、弊社までご連絡ください。テクニカルサポートスタッフがご連絡いたします。

脆弱性を報告する
バッグに追加