PT-G503シリーズのv5.2以前のファームウェアは、古いバージョンのjQuery、脆弱な暗号スイート、セキュリティ対策が施されていないWeb Cookieから脆弱性の影響を受けます。古いjQueryバージョンや脆弱な暗号スイートを使用したセッションCookie属性を適切に設計しないことが、これら脆弱性の原因となります。これらの脆弱性は、クロスサイトスクリプティング（XSS）攻撃、プロトタイプ汚染、データ漏洩、ユーザーセッションへの不正アクセスなど、さまざまな方法で、お客様のセキュリティをリスクにさらす可能性があります。

発見された脆弱性の種類と潜在的な影響は以下の通りです。

影響を受ける製品

影響を受ける製品とファームウェアバージョンは以下の通りです。

対処方法

CVE-2005-4900、CVE-2015-9251、CVE-2019-11358、CVE-2020-11022、およびCVE-2020-11023について、Moxaは、jQueryバージョンを更新し、脆弱な暗号スイートを削除することで、これらの脆弱性に対する適切な対処方法をリリースしました。影響を受ける製品への対処方法は以下の通りです。

緩和策

CVE-2023-4217およびCVE-2023-5035のリスクレベルは低く、特定のレガシーなアプリケーションシナリオではHTTPが引き続き必要なため、HTTP接続を禁止することは困難です。これらの脆弱性を軽減するために、ユーザーは必要に応じて慎重にHTTPを使用する必要があります。さらに、Webサービスの使用時には、HTTPをHTTPSで置き換えることができます。また、次の緩和策を参照して、適切な製品セキュリティコンテキストで製品を導入してください。

CISA推奨事項に従い、次の緩和策を実行することをお勧めします。

• すべての制御システムデバイスとシステムにインターネットからアクセスできないようにすることで、ネットワークの露出を削減する。

• 制御システムのネットワークとリモートデバイスをファイヤーウォールの内側に置き、業務ネットワークから分離する。

• リモートアクセスが必要な場合は、仮想プライベートネットワーク（VPN）などの安全な方法を使用する。VPNは脆弱性が存在する場合があり、入手可能な最新のバージョンを使用して常に最新の状態に保つことが重要です。VPNのセキュリティは、接続されているデバイスのセキュリティによって左右される点に留意してください。

改訂履歴