Schneider Electric 社製の Modicon M580 には、主にサービス妨害につながる脆弱性が複数発見されました。Modicon はプログラマブル自動化コントローラのシリーズ名であり、Modicon M580 はその最新製品です。今回ご紹介する脆弱性の大部分は、Modicon における FTP の使用方法に起因しています。
Talos は情報開示方針に従って Schneider Electric 社と協力し、今回の脆弱性が解決されたこと、および影響を受ける利用者向けにアップデート
が提供されていることを確認しています。同じ製品では以前にも複数の脆弱性が発見され、Talos が今年の 6 月に公開しました。
脆弱性の詳細
Schneider Electric 社製 Modicon M580 で発見された、FTP 機能（認証情報の平文送信）に起因する脆弱性（TALOS-2019-0827 / CVE-2019-6846）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）の FTP 機能には、エクスプロイト可能な情報漏えいの脆弱性が存在します。ネットワークトラフィックのスニッフィングによりエクスプロイトされ、情報が漏えいする危険性があります。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、ファームウェア イメージの検証機能（FTP 経由時）に起因するサービス妨害の脆弱性（TALOS-2019-0825 / CVE-2019-6844）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）のファームウェア更新機能（FTP 経由時）には、エクスプロイト可能なサービス妨害の脆弱性が存在します。細工されたファームウェアイメージにより、デバイスが回復可能な障害状態になることがあります。この状態に陥るとデバイスの正常動作が停止します。脆弱性をエクスプロイトする手口としては、デフォルトの資格情報を使用して特定のコマンドを送信することなどが考えられます。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、ファームウェアイメージの検証機能（FTP 経由時）に起因するサービス妨害の脆弱性（TALOS-2019-0824 / CVE-2019-6843）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）のファームウェア更新機能（FTP 経由時）には、エクスプロイト可能なサービス妨害の脆弱性が存在します。細工されたファームウェアイメージにより、デバイスが回復可能な障害状態になることがあります。この状態に陥るとデバイスの正常動作が停止します。脆弱性をエクスプロイトする手口としては、デフォルトの資格情報を使用して特定のコマンドを送信することなどが考えられます。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、不完全なファームウェアイメージの検証機能（FTP 経由時）に起因するサービス妨害の脆弱性（TALOS-2019-0823 / CVE-2019-6842）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）のファームウェア イメージ検証機能（FTP 経由時）には、エクスプロイト可能なサービス妨害の脆弱性が存在します。細工された FTP コマンドセットにより、デバイスが回復可能な障害状態になることがあります。この状態に陥るとデバイスの正常動作が停止します。脆弱性をエクスプロイトする手口としては、デフォルトの資格情報を使用して特定のコマンドを送信することなどが考えられます。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、ファームウェア更新ローダー（FTP 経由時）に起因するサービス妨害の脆弱性（TALOS-2019-0822 / CVE-2019-6841）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）のファームウェア更新機能（FTP 経由時）には、エクスプロイト可能なサービス妨害の脆弱性が存在します。細工された一連の FTP コマンドにより、FTP ローダーサービスが待機状態に入り、FTP 経由でデバイスのファームウェアを更新できなくなる可能性があります。脆弱性をエクスプロイトする手口としては、デフォルトの資格情報を使用して特定のコマンドを送信することなどが考えられます。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、UMAS プロトコル（データの平文送信）に起因する脆弱性（TALOS-2019-0826 / CVE-2019-6845）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）の UMAS 機能には、エクスプロイト可能な情報漏えいの脆弱性が存在します。ネットワーク トラフィックのスニッフィングによりエクスプロイトされ、情報が漏えいする危険性があります。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 で発見された、古いファームウェアイメージの検証機能（FTP 経由時）に起因するサービス妨害の脆弱性（TALOS-2019-0847 / CVE-2019-6847）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラ（ファームウェア SV2.80）のファームウェア更新機能（FTP 経由時）には、エクスプロイト可能なサービス妨害の脆弱性が存在します。古いファームウェアイメージが使用されると、デバイスが回復不可能な障害状態になることがあります。この状態に陥ると、デバイスとのリモート通信が完全に停止します。脆弱性をエクスプロイトする手口としては、デフォルトの資格情報を使用して特定のコマンドを送信することなどが考えられます。この脆弱性に対する明確な修正プログラムはありませんが、Schneider 社は軽減策を発表しました。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
Schneider Electric 社製 Modicon M580 の TFTP サーバ機能で発見された、情報漏えいの脆弱性 （TALOS-2019-0851 / CVE-2019-6851）
Schneider Electric 社製 Modicon M580 プログラマブル自動化コントローラの TFTP サーバ機能には、エクスプロイト可能な情報漏えいの脆弱性が存在します。細工された TFTP get 要求によりファイルがダウンロードされ、機密情報が漏えいする危険があります。この脆弱性は、未認証のコマンドの送信によりエクスプロイトされる可能性があります。
脆弱性に関する詳細は、アドバイザリ全文をご覧ください。
対象バージョン
Talos では、Schneider Electric 社製の Modicon M580、BMEP582040 SV 2.80 が今回の脆弱性の影響を受けることをテストして確認済みです。SV 2.80 から SV 2.10 にダウングレードした場合でも、TALOS-2019-0847 の影響は依然として残ります。
カバレッジ
脆弱性のエクスプロイトは、以下の SNORTⓇ ルールにより検出可能です。今後、脆弱性に関する新たな情報が追加されるまでの間は、ルールが追加されたり、現行のルールが変更されたりする場合がありますのでご注意ください。最新のルールの詳細については、Firepower Management Center または Snort.org を参照してください。
Snort ルール：49982、49983
本稿は 2019年10月8日に Talos Group
Authors