Schneider Electric InduSoft Web Studio < 7.1.3.4 複数の情報漏洩（SEVD-2015-054-01）

medium Nessus プラグイン ID 84263

言語:

概要

リモートホストで実行されている InduSoft Web Studio ソフトウェアが、複数の情報漏洩の脆弱性による影響を受けます。

説明

自己報告されたバージョンによると、リモートホストで実行している Schneider Electric InduSoft Web Studio のインストールは、7.1.3.4 より前のものです。このため、複数の情報漏洩の脆弱性の影響を受けます：

- ハードコードされた平文パスワードは、ファイルの読み取りアクセスをコントロールするために使用されます。ローカルの攻撃者がこれを悪用して、プロジェクトおよびプロジェクト構成ファイルにストアされた機密情報にアクセスする可能性があります。（CVE-2015-0996）

- HMI ユーザーインターフェイスは、HMI を介してサーバーへ接続する際に有効なユーザー名を画面に提示します。リモート攻撃者がこの情報を使用して、ブルートフォースパスワード攻撃を仕掛ける可能性があります。（CVE-2015-0997）

- ユーザー認証情報は、平文で送信されます。中間者攻撃の攻撃者がこれを悪用して、ネットワークの盗聴により、ユーザーの認証情報を取得する可能性があります。（CVE-2015-0998）

- OPC ユーザー認証情報は、構成ファイルの平文に保存されています。ローカルの攻撃者がこれを悪用して、ユーザーの認証情報を取得する可能性があります。（CVE-2015-0999）

ソリューション

Schneider Electric InduSoft Web Studio 7.1.3.4 またはそれ以降にアップグレードしてください。

プラグインの詳細

深刻度: Medium

ID: 84263

ファイル名: scada_indusoft_web_studio_SEVD_2015-054-01.nbin

バージョン: 1.99

タイプ: remote

ファミリー: SCADA

公開日: 2015/6/18

更新日: 2023/5/31

リスク情報

VPR

リスクファクター: Medium

スコア: 4.7

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 3.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

脆弱性情報

CPE: cpe:/a:schneider_electric:indusoft_web_studio

必要な KB アイテム: installed_sw/InduSoft Web Studio HTTP Server

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/2/23

脆弱性公開日: 2015/2/23

参照情報

CVE: CVE-2015-0996, CVE-2015-0997, CVE-2015-0998, CVE-2015-0999

BID: 73378, 73386, 73387, 73389

ICSA: 15-085-01A