CVE-2021-22799
| Summary |
A CWE-331: Insufficient Entropy vulnerability exists that could cause unintended connection from an internal network to an external network when an attacker manages to decrypt the SESU proxy password from the registry. Affected Product: Schneider Electric Software Update, V2.3.0 through V2.5.1
|
| Publication Date |
Jan. 29, 2022, 5:15 a.m. |
| Registration Date |
Jan. 29, 2022, 10 a.m. |
| Last Update |
Nov. 21, 2024, 2:50 p.m. |
|
CVSS3.1 : LOW
|
| スコア |
3.8
|
| Vector |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N |
| 攻撃元区分(AV) |
ローカル |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃に必要な特権レベル(PR) |
低 |
| 利用者の関与(UI) |
不要 |
| 影響の想定範囲(S) |
変更あり |
| 機密性への影響(C) |
低 |
| 完全性への影響(I) |
なし |
| 可用性への影響(A) |
なし |
|
CVSS2.0 : LOW
|
| Score |
2.1
|
| Vector |
AV:L/AC:L/Au:N/C:P/I:N/A:N |
| 攻撃元区分(AV) |
ローカル |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃前の認証要否(Au) |
不要 |
| 機密性への影響(C) |
低 |
| 完全性への影響(I) |
なし |
| 可用性への影響(A) |
なし |
| Get all privileges. |
いいえ
|
| Get user privileges |
いいえ
|
| Get other privileges |
いいえ
|
| User operation required |
いいえ
|
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:schneider-electric:software_update:*:*:*:*:*:*:*:* |
2.3.0 |
|
|
2.5.2 |
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Schneider Electric 製 Schneider Electric Software Update におけるエントロピー不足の脆弱性
| Title |
Schneider Electric 製 Schneider Electric Software Update におけるエントロピー不足の脆弱性
|
| Summary |
Schneider Electric 社が提供する Schneider Electric Software Update には、エントロピー不足の脆弱性 (CWE-331、CVE-2021-22799) が存在します。
|
| Possible impacts |
ローカルのユーザによって、レジストリから SESU プロキシパスワードを復号された場合、内部ネットワークから外部ネットワークへの意図しない接続が行われる可能性があります。 |
| Solution |
[アップデートする] 開発者は以下の対応を推奨しています。 * SESU がインストールされている場合は、ダウンロードをクリックして SESU の新バージョンをインストールする * SESU がインストールされていない場合は、ベンダ情報より SESU をダウンロードしてインストール手順に従う [ワークアラウンドを実施する] 開発者は以下のワークアラウンドの適用を推奨しています。 * 制御およびセーフティネットワークおよびリモートデバイスをファイアウォールの内側に設置し、ビジネスネットワークから分離する * 権限のない人が産業用制御やセーフティシステム、コンポーネント、周辺機器およびネットワークに物理的にアクセスできないようにする * すべてのコントローラを鍵付きキャビネットに格納し、「プログラム」モードに設定したまま放置しない * デバイス用のネットワーク以外にプログラミングソフトウェアを接続しない * 分離したネットワーク間でデータをやり取りするためのリムーバブルメディア（CD や USB ドライブなど）はすべて、これらネットワークに接続される端末やノードで利用する前にスキャンする * 対象のネットワーク以外に接続しているモバイルデバイスは、適切な対処なしにセーフティおよび制御ネットワークへの接続を許可しない * すべての制御システムデバイスおよびシステムのネットワーク露出を最小限に抑え、インターネットからアクセスできないようにする * リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) などの安全な方法を使用し、VPN は最新版を利用する 詳細は、Schneider Electric Security Notification <a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-313-02" target="_blank">SEVD-2021-313-02</a> を参照してください。 |
| Publication Date |
Dec. 3, 2021, midnight |
| Registration Date |
Dec. 6, 2021, 2:36 p.m. |
| Last Update |
Dec. 6, 2021, 2:36 p.m. |
Affected System
| Schneider Electric |
|
Schneider Electric Software Update v2.3.0 から v2.5.1
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2021年12月06日] 掲載 |
Dec. 6, 2021, 12:03 p.m. |