OpenPLC ScadaBR の危険なファイルのアップロードの脆弱性（CVE-2021-26828）

何が起きた

工場などの設備を監視する ScadaBR で、アップロードするファイルの種類を制限していない弱点が見つかりました。ログイン済みの利用者が、view_edit.shtm という画面から JSP ファイルを送り込んで実行できます。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

OpenPLC ScadaBR を使っている組織です。NVD の説明では、Linux 版の 0.9.1 まで、Windows 版の 1.12.4 までが影響を受けます。修正されたバージョンは、このデータからは不明です。

何をすればいい

修正版は、NVD や CVE の記録からは分かりません。ScadaBR の GitHub で公開された 1.2 には、セキュリティの弱点の修正が含まれるとされていますが、この弱点が直ったかどうかは明記されていません。CISA は、メーカーの案内に沿って対策をとり、対策ができない場合は製品の使用をやめるよう求めています。また CISA は、同じ弱点がほかの製品にも入っている可能性があるとして、Scada-LTS というソフトの修正を参考に挙げています。Scada-LTS では、この弱点の修正が 2.7.1 に入っています。

やることチェックリスト

• 使っている ScadaBR のバージョンを確かめる
• メーカーの案内に従って更新や対策をする
• 対策できなければ ScadaBR の使用をやめる

用語メモ

JSP 用語集で見る

Java を使って Web ページを作る仕組みで、サーバーの上でプログラムとして動きます。

アップロード 用語集で見る

手元のファイルをサーバーなどに送って置くことです。

ScadaBR

工場や設備の機械を、画面から監視したり操作したりするためのソフトウェアです。