重要な脆弱性情報 1. 概要 CVSS v3 スコア: 8.8 備考: リモートから攻撃可能、必要なスキルレベルは低い ベンダー: Siemens デバイス: SIPORT MP 脆弱性: クライアント認証の使用 2. リスク評価 この脆弱性を悪用すると、認証済み攻撃者は他のシステムユーザーになりすまして、これらのユーザーに代わって操作を実行できる可能性があります（「パスワードなしログオンを許可」機能が有効になっている場合）。 3. 技術詳細 3.1 影響を受ける製品 SIPORT MP: バージョン 3.2.1 以前 3.2 脆弱性概要 CWE: CWE-603 クライアント認証の使用 影響を受ける製品には認証バイパスの脆弱性があり、攻撃者がシステムユーザーになりすますことが可能 CVE 番号: CVE-2020-7591 CVSS v3 ベーススコア: 8.8 3.3 背景 重要インフラ分野: 商業施設 導入国/地域: 全世界 本社所在地: ドイツ 3.4 リサーチャー Siemens ProductCERT が CISA に本脆弱性を報告 4. 軽減策 Siemens は SIPORT MP の更新バージョン（v3.2.1）をリリースしました。すべての影響を受けるシステムへのこの更新プログラムのインストールをユーザーに推奨します。 バージョン 3.2.1 へアップグレードできないインストールについては、展開および特定の軽減策に関する情報を入手するために Siemens サポートに問い合わせてください。 セキュリティを強化するため、Siemens はユーザーに対し、影響を受けるデバイスへのネットワークアクセスを適切なメカニズムで保護することを推奨します。 CISA はユーザーに対し、以下の対策を実施して、この脆弱性の悪用リスクを最小化することを推奨します。 - コントロールシステムのデバイスおよび/またはシステムをインターネットから分離する - コントロールシステムネットワークおよびリモートデバイスをファイアウォールの背後に配置し、業務ネットワークから分離する - リモートアクセスが必要となる場合は、仮想プライベートネットワーク（VPN）などの安全な方法を使用する