OpenPLC ScadaBR のクロスサイトスクリプティングの脆弱性（CVE-2021-26829）

何が起きた

工場などの設備を監視する ScadaBR で、system_settings.shtm という設定画面に悪いスクリプトを保存できてしまう弱点（保存型クロスサイトスクリプティング）が見つかりました。仕込まれたスクリプトは、その画面を開いた人のブラウザで動きます。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用でき、被害者がその画面を開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

OpenPLC ScadaBR を使っている組織です。NVD の説明では、Linux 版の 0.9.1 まで、Windows 版の 1.12.4 までが影響を受けます。修正されたバージョンは、このデータからは不明です。

何をすればいい

修正版は、NVD や CVE の記録からは分かりません。ScadaBR の GitHub で公開された 1.2 には、セキュリティの弱点の修正が含まれるとされていますが、この弱点が直ったかどうかは明記されていません。CISA は、メーカーの案内に沿って対策をとり、対策ができない場合は製品の使用をやめるよう求めています。

やることチェックリスト

• 使っている ScadaBR のバージョンを確かめる
• メーカーの案内に従って更新や対策をする
• 対策できなければ ScadaBR の使用をやめる

用語メモ

保存型クロスサイトスクリプティング

Web サイトに悪いスクリプトを保存しておき、そのページを開いた人のブラウザで動かす攻撃です。

スクリプト 用語集で見る

ブラウザなどで動く短いプログラムのことです。

ScadaBR

工場や設備の機械を、画面から監視したり操作したりするためのソフトウェアです。