InduSoft Web Studio のパストラバーサルの脆弱性（CVE-2014-0780）

何が起きた

工場などの監視画面を作るソフト InduSoft Web Studio に含まれる NTWebServer に、決められた場所の外にあるファイルを読めてしまう弱点（ディレクトリトラバーサル）が見つかりました。攻撃者は APP ファイルの中にある管理者のパスワードを読み取り、その結果、任意の（攻撃者が好きに選べる）プログラムを実行できる可能性があります。ログイン不要で、離れた場所から利用者の操作なしに悪用できます。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

InduSoft Web Studio 7.1 の SP2 Patch 4 より前を使っている組織が影響を受けます。

何をすればいい

InduSoft のパッチを当てて、v7.1+Service Pack 2+ Patch 4 にしてください。InduSoft は、NTWebServer は実演や研修用のもので、実際の運用で使うものではないとしています。CISA の勧告では、制御システムをインターネットから見えないようにすること、ファイアウォールで守り業務用ネットワークから分けること、遠隔から使うときは VPN を使い最新に保つことも案内されています。あわせて InduSoft の公式の案内を確認してください。

やることチェックリスト

• Web Studio 7.1 に SP2 Patch 4 を当てる
• NTWebServer を実際の運用で使わない
• 制御システムをインターネットから見えなくする

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は見せない場所のファイルを読み出す攻撃です。

パッチ

ソフトウェアの不具合や弱点を直すための修正プログラムです。

VPN

インターネット上に暗号化された専用の通り道を作り、離れた場所から安全に社内のネットワークへつなぐ仕組みです。