脆弱性の発見者：Cisco Talos の Carlos Pacho
Talos は本日（4 月 13 日）、Moxa EDR-810 産業用セキュア ルータで確認された複数の脆弱性を公開しました。
Moxa EDR-810 は、ファイアウォール/NAT/VPN 機能と管理型レイヤ 2 スイッチ機能に対応した産業用セキュア ルータです。同製品は、リモート制御やネットワーク モニタリングにおけるイーサネットベースのセキュリティ アプリケーション向けに設計されており、給水所の給水/浄水処理システム、石油/ガス アプリケーションの DCS システム、ファクトリ オートメーションの PLC/SCADA システムなどの重要な資産を保護する電子セキュリティ境界を構築します。
また、Moxa 社からは修正済みファームウェア
がリリースされています。脆弱性を解決するため、修正済みファームウェアをできるだけ早くダウンロードしてインストールすることをお勧めします。
脆弱性の詳細
TALOS-2017-0472（CVE-2017-12120）：Moxa EDR-810 Web サーバにおける ping コマンド インジェクションの脆弱性
TALOS-2017-0472 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能なコマンド インジェクションの脆弱性です。巧妙に細工された HTTP POST によって権限昇格が引き起こされ、root シェルが利用される危険性があります。「/goform/net_WebPingGetValue」URI の ifs= パラメータに OS コマンドが挿入されると本脆弱性がトリガーされ、該当デバイスが制御される可能性があります。
TALOS-2017-0473（CVE-2017-12121）：Moxa EDR-810 の Web RSA 鍵生成におけるコマンド インジェクションの脆弱性
TALOS-2017-0473 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能なコマンド インジェクションの脆弱性です。巧妙に細工された HTTP POST によって権限昇格が引き起こされ、root シェルが利用される危険性があります。「/goform/WebRSAKEYGen」URI の rsakey\_name= パラメータに OS コマンドが挿入されると本脆弱性がトリガーされ、該当デバイスが制御される可能性があります。
TALOS-2017-0474（CVE-2017-14435 ～ 14437）：Moxa EDR-810 Web サーバの strcmp に起因する複数のサービス妨害（DoS）の脆弱性
TALOS-2017-0474 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能な 3 件の DoS 脆弱性です。巧妙に細工された HTTP URI によって Null ポインタ参照が発生し、サービス障害が発生する可能性があります。「/MOXA_LOG.ini」、「/MOXA_CFG.ini」、「/MOXA_CFG2.ini」のいずれかに cookie ヘッダーのない GET リクエストが送信されると本脆弱性がトリガーされる可能性があります。
TALOS-2017-0475（CVE-2017-12123）：Moxa EDR-810 においてパスワードがクリアテキストで送信される脆弱性
TALOS-2017-0475 はクリア テキストでパスワードが送信される脆弱性で、Moxa EDR-810 の Web サーバ機能および telnet 機能に存在します。ネットワーク トラフィックの検査により、デバイスの管理パスワードが取得され、そのクレデンシャルで、デバイスの Web 管理コンソールにデバイス管理者としてログインされる可能性があります。
TALOS-2017-0476（CVE-2017-12124）：Moxa EDR-810 Web サーバ URI によるサービス妨害（DoS）の脆弱性
TALOS-2017-0476 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能な DoS 脆弱性です。巧妙に細工された HTTP URI によって Null ポインタ参照が発生し、Web サーバがクラッシュする可能性があります。本脆弱性は、巧妙に細工された URI が送信されるとエクスプロイトされる可能性があります。
TALOS-2017-0477（CVE-2017-12125）：Moxa EDR-810 Web サーバにおける証明書署名要求コマンド インジェクションの脆弱性
TALOS-2017-0477 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能なコマンド インジェクションの脆弱性です。巧妙に細工された HTTP POST リクエストによって権限昇格が引き起こされ、root シェルにアクセスされる危険性があります。「/goform/net_WebCSRGen」の CN= パラメータに OS コマンドが挿入されると本脆弱性がトリガーされる可能性があります。
TALOS-2017-0478（CVE-2017-12126）：Moxa EDR-810 Web サーバにおけるクロスサイト リクエスト フォージェリの脆弱性
TALOS-2017-0478 は、Moxa EDR-810 の Web サーバ機能に存在する、エクスプロイト可能なクロスサイト リクエスト フォージェリ（CSRF）の脆弱性です。巧妙に細工された HTTP 要求により CSFR 脆弱性がトリガーされ、デバイス設定が変更される危険性があります。悪意のある HTML コードが作成され、そのコードを実行するようにユーザが誘導されて、本脆弱性がトリガーされる可能性があります。
TALOS-2017-0479（CVE-2017-12127）：Moxa EDR-810 におけるプレーン テキストでのパスワード保存の脆弱性
TALOS-2017-0479 は、Moxa EDR-810 のオペレーティング システム機能に存在する、パスワード保存に関する脆弱性です。該当デバイスは、クレデンシャルをプレーン テキストで /magicP/cfg4.0/cfg_file/USER_ACCOUNT.CFG に保存します。このファイルは /etc/shadow の内容を反映しますが、パスワードはすべてプレーン テキストで保存されます。
TALOS-2017-0480（CVE-2017-12128）：Moxa EDR-810 のサーバ エージェントにおける情報漏えいの脆弱性
TALOS-2017-0480 は、Moxa EDR-810 のサーバ エージェント機能に存在する、エクスプロイト可能な情報漏えいの脆弱性です。巧妙に細工された TCP パケットにより、該当デバイスでデータ漏えいが引き起こされ、情報漏えいに至る危険性があります。この脆弱性は、巧妙に細工された TCP パケットが送信されるとエクスプロイトされる可能性があります。
TALOS-2017-0481（CVE-2017-12129）：Moxa EDR-810 Web サーバにおける、パスワード暗号化強度不足の脆弱性
TALOS-2017-0481 は、Moxa EDR-810 の Web サーバ機能においてパスワード暗号化強度が不足している、エクスプロイト可能な脆弱性です。最初のログイン後、認証された各要求で、MD5 でハッシュ化されたパスワードを含む HTTP パケットが送信されます。このハッシュにソルトが付与されていないためクラッキングされ、デバイスのパスワードが特定される危険性があります。
TALOS-2017-0482（CVE-2017-14432 ～ 14434）：Moxa EDR-810 Web サーバの OpenVPN 設定におけるコマンド インジェクションの複数の脆弱性
TALOS-2017-0482 は、エクスプロイト可能なコマンド インジェクションの複数の脆弱性で、Moxa EDR-810 の Web サーバ機能に存在します。巧妙に細工された HTTP POST リクエストにより権限昇格が引き起こされ、その結果 root シェルが利用される危険性があります。「/goform/net_Web_get_value」URI 内のさまざまなパラメータに OS コマンドが挿入されると、本脆弱性がトリガーされる可能性があります。
TALOS-2017-0487（CVE-2017-14438、14439）：Moxa EDR-810 サービス エージェントにおける複数のサービス妨害（DoS）
TALOS-2017-0487 は、Moxa EDR-810 のサービス エージェント機能に存在する、エクスプロイト可能な 2 件の DoS 脆弱性です。巧妙に細工されたパケットによりサービス障害が発生する危険性があります。TCP ポート 4000 または 4001 に巨大なパケットが送信されると、本脆弱性がトリガーされる可能性があります。
今回発見された脆弱性の詳細な技術情報については、Talso の Web サイトから脆弱性に関する勧告をご覧ください。
http://www.talosintelligence.com/vulnerability-reports/
該当バージョン
発見された脆弱性は、Moxa EDR-810 V4.1 ビルド 17030317 で確認されていますが、これ以前のバージョンにも影響する可能性があります。
詳細
遠隔監視制御・情報取得（SCADA）システムなどの産業制御システム（ICS）は、多様な産業プロセスの各側面を制御・監視する用途で、エネルギー産業や製造業、ライフラインなどの分野で活用されています。従来の IT システムやネットワークで使用されているメカニズムやプロトコルは、ICS システムでも多くが使用されており、
従来の IT システムと ICS の間には一部で類似点もあります。ただし ICS では高いサービス レベルとパフォーマンスが求められます。その理由は、ICS が実社会に、つまり人々の健康や安全、そして環境に直接的な影響を及ぼす可能性があるためです。そのため ICS には独自の信頼性要件があり、一般的な IT 環境では使用されないリアルタイムの OS とアプリケーションが使用されるケースもあります。
従来の IT ネットワークのセキュリティと同様に、ICS セキュリティの中心の 1 つは、ネットワーク アクティビティへのアクセス制限です。アクセス制限の方法としては、単方向ゲートウェイ、ファイアウォールを備えた緩衝地帯（DMZ）ネットワーク アーキテクチャ、企業と ICS ネットワークのユーザ向けの個別の認証メカニズムとクレデンシャルなどがあります。
ネットワークを保護するファイアウォールを含めた ICS デバイスではソフトウェアが実行されますが、ソフトウェアには脆弱性が含まれ、ICS ネットワーク環境への侵入経路となる可能性があります。
Cisco Talos の脆弱性調査チームは、未知の脆弱性を検出するために、ICS などの従来とは異なるコンピューティング環境にも重点を置いています。また、ベンダーと協力し、責任を持って脆弱性情報を開示する一方で、発見された脆弱性を修正することによって、ベンダーが製品のセキュリティを向上させるための時間を確保します。
Moxa EDR-810 は、ファイアウォールに特化したデバイスの 1 つです。本製品のファイアウォールは、ICS インフラストラクチャ内で機能するように特別に設計されており、ICS プロセスのネットワーク セキュリティを確保します。Cisco Talos の研究者は、Moxa EDR-810 のセキュリティに影響を及ぼす複数の脆弱性を発見しました。Moxa EDR-810 を使用している場合、ICS 環境の脆弱性を排除するために、できるだけ早くソフトウェアを更新することをお勧めします。
カバレッジ
次の Snort ルールは、今回発見された脆弱性に対するエクスプロイトを検出します。脆弱性に関する新たな情報が発見された場合は、ルールが追加・変更される可能性もあります。最新情報にご注意ください。ルールに関する最新情報は、Firepower Management Center または Snort.org を参照してください。
Snort ルール：
- 31939、40880、44835 ～ 44837、44840 ～ 44842、44847 ～ 44852、44855、44858
本稿は 2018年4月13日に Talos Group
Authors