主要脆弱性情報 アップデート概要 タイトル: Moxa ioLogik E1200シリーズの脆弱性 (Update A) 最終改訂日: 2017年1月31日 警報コード: ICSA-16-287-05A 影響を受ける製品 影響を受ける製品およびバージョン: - ioLogik E1210、ファームウェアバージョン V2.4 以前 - ioLogik E1211、ファームウェアバージョン V2.3 以前 - ioLogik E1212、ファームウェアバージョン V2.4 以前 - ioLogik E1213、ファームウェアバージョン V2.5 以前 - ioLogik E1214、ファームウェアバージョン V2.4 以前 - ioLogik E1240、ファームウェアバージョン V2.3 以前 - ioLogik E1241、ファームウェアバージョン V2.4 以前 - ioLogik E2210、ファームウェアバージョン V3.13 以前 - ioLogik E2212、ファームウェアバージョン V3.14 以前 - ioLogik E2214、ファームウェアバージョン V3.12 以前 - ioLogik E2240、ファームウェアバージョン V3.12 以前 - ioLogik E2242、ファームウェアバージョン V3.12 以前 - ioLogik E2260、ファームウェアバージョン V3.13 以前 - ioLogik E2262、ファームウェアバージョン V3.12 以前 脆弱性の説明 CWE-79: クロスサイトスクリプティング (XSS) - CVSS v3 ベーススコア: 8.8 - 脆弱性の詳細: ウェブアプリケーションがユーザー入力を正しく処理せず、スクリプトインジェクションや任意コードの実行を可能にしてしまった CWE-522: 保護不十分な認証情報 - CVSS v3 ベーススコア: 8.1 - 脆弱性の詳細: パスワードの転送形式が十分に安全ではない CWE-521: 脆弱なパスワード要件 - CVSS v3 ベーススコア: 8.1 - 脆弱性の詳細: ユーザーには短いパスワードのみが許可されている CWE-352: クロスサイトリクエストフォージェリ (CSRF) - CVSS v3 ベーススコア: 7.3 - 脆弱性の詳細: ウェブアプリケーションが、リクエストが正当なユーザーからのものであるかどうかを十分に検証できない 利用性と防御策 リモートから利用可能: はい 公開された脆弱性情報あり: はい 低スキル攻撃者による利用が可能: はい 軽減策: - 最新バージョンのファームウェアにアップグレードする - ネットワークの露出を最小限に抑え、デバイスがインターネットに直接接続されないようにする - 安全なリモートアクセス方法（VPNなど）を使用する - コントロールシステムのセキュリティ推奨実践に従う