JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は4月23日、「JVNVU#96064711: Horner Automation 製 Cscape に複数の脆弱性」において、Horner Automationが提供している制御システム向けのアプリケーションプログラミングソフト「Cscape」に複数の脆弱性が報告され、開発元が修正版をリリースしたと伝えた。これらの脆弱性を悪用されると、攻撃者によって対象のデバイス上で任意のコードが実行されたり、ローカルで権限の昇格が行われたりする危険性があるという。

今回報告されている脆弱性は以下の2つ。

  • CVE-2021-22678: 不適切な入力確認
  • CVE-2021-22682: 不適切なアクセス制御

CVE-2021-22678はプロジェクトファイルのパース時の検証不備によってメモリ破損が生じるというもので、第三者に悪用されると任意のコードが実行される危険性があるという。CVE-2021-22682はデフォルトですべてのユーザーに読み込み／書き込みを含むフルコントロール権限を付与していることに起因する問題で、結果として第三者によってバイナリや設定ファイルの改竄が行われたり、ローカルで権限の昇格が行われたりする危険性があるという。

影響を受けるバージョンは次のとおりとなっている。

  • Cscape 9.90 SP4 より前のすべてのバージョン

Cscape Version 9.90 SP4以降のバージョンにアップデートすることで問題を回避することができる。

脆弱性の深刻度を表すCVSS v3のスコアは、CVE-2021-22678が7.8、CVE-2021-22682が8.4となっている。いずれも5段階中で2番目に高い「Important(重要)」に分類されており、早急に対処することが推奨されている。

  • JVNVU#96064711: Horner Automation 製 Cscape に複数の脆弱性

    JVNVU#96064711: Horner Automation 製 Cscape に複数の脆弱性