Delta Electronics DOPSoft 2 の範囲外書き込みの脆弱性（CVE-2021-38406）

何が起きた

工場などで使う操作パネル（HMI）の画面を作るソフト DOPSoft 2 で、特定のプロジェクトファイルを読み込むときの確認が足りず、メモリーの決められた範囲の外に書き込んでしまう弱点が見つかりました。攻撃者はこれを使って、DOPSoft 2 の権限でプログラムを動かせるおそれがあります。NVD の評価では、端末の上での攻撃で、利用者がファイルを開くなどの操作が必要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Delta Electronics の DOPSoft 2 の 2.00.07 以前を使っている人や組織が対象です。CISA の勧告では、Delta Electronics は DOPSoft 2 をサポートが終わった製品としており、修正版は出さないとしています。

何をすればいい

修正版は出ないため、CISA は、まだ使っている場合は取り外すよう案内しています。Delta Electronics は、HMI 機器を DOP-100 シリーズへ移し、ソフトを DIAStudio v1.1.2 以降に含まれる DIAScreen に切り替えるよう勧めています。それまでのあいだ、知らない相手からのプロジェクトファイルを開かないようにしてください。あわせて公式の案内を確認してください。

やることチェックリスト

• DOPSoft 2 の利用をやめる
• DIAStudio v1.1.2 以降の DIAScreen に切り替える
• 知らない相手のプロジェクトファイルを開かない

用語メモ

HMI

人が機械の状態を見たり操作したりするための画面やパネルのことです。

プロジェクトファイル

ソフトで作った画面の設定などをまとめて保存したファイルのことです。