Schneider Electric InduSoft Web Studio < 7.1.3.4 複数の情報漏洩（SEVD-2015-054-01）

medium Nessus プラグイン ID 84263

Language:

概要

リモートホストで実行されている InduSoft Web Studio ソフトウェアが、複数の情報漏洩の脆弱性による影響を受けます。

説明

自己報告されたバージョンによると、リモートホストで実行している Schneider Electric InduSoft Web Studio のインストールは、7.1.3.4 より前のものです。このため、複数の情報漏洩の脆弱性の影響を受けます：

- ハードコードされた平文パスワードは、ファイルの読み取りアクセスをコントロールするために使用されます。ローカルの攻撃者がこれを悪用して、プロジェクトおよびプロジェクト構成ファイルにストアされた機密情報にアクセスする可能性があります。（CVE-2015-0996）

- HMI ユーザーインターフェイスは、HMI を介してサーバーへ接続する際に有効なユーザー名を画面に提示します。リモート攻撃者がこの情報を使用して、ブルートフォースパスワード攻撃を仕掛ける可能性があります。（CVE-2015-0997）

- ユーザー認証情報は、平文で送信されます。中間者攻撃の攻撃者がこれを悪用して、ネットワークの盗聴により、ユーザーの認証情報を取得する可能性があります。（CVE-2015-0998）

- OPC ユーザー認証情報は、構成ファイルの平文に保存されています。ローカルの攻撃者がこれを悪用して、ユーザーの認証情報を取得する可能性があります。（CVE-2015-0999）