Tenable ブログ
ブログ通知を受信する
InduSoft Web Studioでのリモートコード実行
InduSoft Web Studioを実行している企業はソフトウェアを更新し、これらの重要なシステムがインターネットに公開されていないことを確認する必要があります。
Tenable ResearchはInduSoft Web Studio 8.1.2.0の非認証のリモートコード実行（RCE）の脆弱性を発見しました。ICS-CERTはこの脆弱性に対してCVE-2019-6545およびCVE-2019-6543を割り当てました。
背景
InduSoft Web Studioは、ヒューマンマシンインターフェース（HMI）および監視制御およびデータ収集（SCADA）システム用の自動化ツールです。同社のウェブサイトによると、Web Studioは、製造、石油、ガス、水道、矯正施設、および、ドラッグレーサーで使用されています。
攻撃者は、この脆弱性を悪用することにより、攻撃者が制御するサーバーから悪意のあるデータベース構成ファイル（DB.xdc）を取得するように指示して、標的のシステム上でコマンドを実行することができます。
分析
この脆弱性の原因は、Web Studioに組み込まれたスクリプト言語で、認証されていないリモートの攻撃者により悪用される可能性があります。組み込まれたスクリプト言語は、ユーザーによるオペレーティングシステムレベルのコマンドを実行可能にします。攻撃者は、適切に作成されたDBProcessCallメッセージを送信することにより、組み込まれたスクリプト言語を実行することができます（コマンド66）。DBProcessCallを使用すると、攻撃者はリモートサーバーからデータベース構成ファイルを読み込むようにWeb Studioに指示することができ、攻撃者は構成ファイルに悪意のあるスクリプト言語コマンドを含め、Web Studioで実行する可能性があります。
コマンド66はアクセス権限「0」で実行でき、認証や承認は必要ありません。セキュリティが有効になっていて、メインパスワードが設定されていて、Guestアカウントが削除されていても攻撃を実行できます。
概念実証
概念実証 (PoC) コードは、Tenable ResearchのGitHubにアップロードされています。PoCのビデオはこちらからご覧いただけます。
ソリューション
Avevaはこの脆弱性に関するセキュリティ情報とソフトウェアアップデートを公開しました。InduSoft Web Studioを実行している企業は自社のソフトウェアをInduSoft Web Studio v8.1 SP3に更新し、これらの重要なシステムがインターネットに公開されないようにする必要があります。
追加情報
この脆弱性に関する詳細は、研究者、Jacob Bainesの記事をTenable Tech Blog on Mediumからご覧ください。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Navigating Security Challenges Around OT in the DoD’s Manufacturing Lines
April 15, 2024How operational technology can revolutionize logistics, supply chain management, and overall efficiency.
CVE-2024-3400: Zero-Day Vulnerability in Palo Alto Networks PAN-OS GlobalProtect Gateway Exploited in the Wild
April 12, 2024A critical severity command injection vulnerability in Palo Alto Networks PAN-OS has been exploited in limited targeted attacks. While a fix is not yet available, patches are expected to be released on April 14 and mitigation steps are available.
- Vulnerability Management