アーティクル - CS333010
OpenSSL のセキュリティ脆弱性 (KEPServerEX 5.21 リリース)
修正日: 23-Dec-2022
適用対象
- Kepware Server (formerly KEPServerEX) 5.19.467.0 to 6.8
- ThingWorx Kepware Server (legacy) 8.0 to 8.4
説明
KEPServerEX OPC UA サーバーまたは OPC UA クライアント ドライバーを使用しているお客様は、KEPServerEX バージョン 5.20.396 以前に影響を与える OpenSSL で発見されたセキュリティの脆弱性に注意する必要があります。 KEPServerEX 用の OPC UA サーバーまたは OPC UA クライアント ドライバーを使用していないお客様は、この記事を無視してかまいません。 OpenSSL は、通信を保護するために多くの OPC UA アプリケーションで使用されるオープンソース ライブラリです。 KEPServerEX は OpenSSL を使用して、OPC UA サーバーおよび OPC UA クライアント ドライバーとの通信を保護します。最近発見された OpenSSL の脆弱性は、リモートの攻撃者が KEPServerEX と UA エンドポイント間のデータを傍受、復号化、および操作できるようにすることで、これらの製品に影響を与える可能性があります。次のリンクは OpenSSL の脆弱性を文書化しています: https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2107 1.0.2h より前の 1.0.2。これらのバージョンでは、特定のパディング チェック中にメモリ割り当てが考慮されていないため、リモートの攻撃者が AES CBC セッションに対するパディング オラクル攻撃を介して機密の平文情報を取得できます。これにより、機密情報への不正アクセスが発生する可能性があります。 OPC UA サーバーへのアクセスが容易であるほど、この攻撃に対して脆弱になります。たとえば、OPC UA サーバーが LAN または制御ネットワークでのみ使用できる場合、露出は制限されます。不正なアプリケーションは、このネットワークに侵入し、ネットワーク上の侵害されたマシンから脆弱性を悪用する必要があります。 OPC UA サーバーが WAN 経由でアクセスできる場合、この脆弱性の影響を受けやすくなります。ネットワーク上の OPC UA サーバーにアクセスできるすべてのマシンが、この脆弱性を悪用する可能性があります。 KEPServerEX はデフォルトで Localhost UA エンドポイントのみをインストールするため、KEPServerEX と同じマシンで実行されているアプリケーションのみがこの脆弱性を悪用できます。 localhost 以外のエンドポイントを有効にすると、マシンの影響を受けやすくなりますが、ネットワーク上で OPC UA サーバーにどの程度アクセスできるかによって異なります。 Kepware は、2016 年 8 月 16 日にリリースされた KEPServerEX バージョン 5.21.112 の OpenSSL バージョン 1.0.2h にアップグレードすることで、これらの問題に対処しました。
最新バージョンはこちらを参照ください CS333010