重要な脆弱性情報 脆弱性の概要 脆弱性名称: Moxa MiiNePort の脆弱性 (Update A) 公開日: 2018年8月23日 元になった情報: ICSA-16-145-01 (当初のレポートは2016年5月24日に公開) 影響を受ける製品 対象となるMiiNePortのバージョン: - MiiNePort_E1_7080 ファームウェアバージョン 1.1.10 Build 09120714 - MiiNePort_E1_4641 ファームウェアバージョン 1.1.10 Build 09120714 - MiiNePort_E2_1241 ファームウェアバージョン 1.1 Build 10080614 - MiiNePort_E2_4561 ファームウェアバージョン 1.1 Build 10080614 - MiiNePort E3 ファームウェアバージョン 1.0 Build 11071409 脆弱性の影響 これらの脆弱性を成功裏に悪用されると、パスワード変更、設定パラメータの変更、変更された設定の保存、およびデバイスの再起動など、承認されていない操作が通知なしに実行される可能性があります。 脆弱性の説明 CVE-2016-2295NVD: 機密情報のプレーンテキスト保存 (CWE-312) CVE-2016-2285NVD: クロスサイトリクエストフォージェリ (CWE-352) CVE-2016-2286NVD: 弱い認証情報の管理 (CWE-255) 脆弱性の悪用情報 リモートから悪用可能: はい 既知の公開 exploit: いいえ 悪用の難易度: 低スキル攻撃者でも悪用可能 緩和策 TCP/80（HTTP）および TCP/23（TELNET）を無効化する UDP/161（SNMP）、UDP/4800、TCP/4900 を信頼できるシステムからのみアクセス可能とする パスワード機能を有効にする コントロールシステムデバイスのネットワーク露出を最小限に抑える コントロールシステムネットワークおよび遠隔デバイスをファイアウォール背後に配置し、エンタープライズネットワークから分離する リモートアクセスには安全な方法（VPN など）を採用する