解説:

CVE-2022-29303に関する調査結果

1. 脆弱性の概要

CVE-2022-29303は、株式会社コンテックが提供する太陽光発電計測監視装置「SolarView Compact」のWebサーバーに存在するOSコマンドインジェクションの脆弱性です。この脆弱性は、製品のWebサーバーのテストメール送信画面において、入力値が適切に検証されないことに起因します。

1.1 影響

攻撃者が本脆弱性を悪用した場合、Webサーバーにアクセスすることで任意のOSコマンドを実行される可能性があります。これにより、情報の窃取・改ざん、システムの破壊、悪意のあるプログラムの実行などの影響を受ける恐れがあります。実際に、この脆弱性を悪用してMiraiボットネットが拡散され、数百のエネルギー関連組織に影響を与えた事例が報告されています。また、CISAのKnown Exploited Vulnerabilitiesカタログにも追加されており、活発な悪用が確認されています。

1.2 深刻度

• CVSSv3 基本評価値: 8.8 (重要/High)
  • 攻撃元区分: ネットワーク (Network)
  • 攻撃条件の複雑さ: 低 (Low)
  • 攻撃に必要な特権レベル: 低 (Low)
  • ユーザー関与: 不要 (None)
  • 機密性への影響: 高 (High)
  • 完全性への影響: 高 (High)
  • 可用性への影響: 高 (High)
• CVSSv3 基本評価値 (別情報): 9.8 (緊急/Critical)
  • 攻撃に必要な特権レベル: 不要 (None)
  • CVSSv3の評価は情報源によって若干異なりますが、いずれも非常に高い深刻度を示しています。
• EPSS (Exploit Prediction Scoring System): 98%
  • これは、この脆弱性が今後30日以内に悪用される可能性が非常に高いことを示しています。
• CISA Known Exploited Vulnerabilities (KEV)カタログに登録されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

影響を受けるのは、SolarView Compactの特定のファームウェアバージョンです。OSバージョンに特化した情報は見当たりませんでした。 * CONTEC SolarView Compact SV-CPT-MC310 および SV-CPT-MC310F の Ver.7.21より前のバージョン * SolarView Compact 6.00 およびそれ以前のバージョン

2.2 影響を受ける設定

SolarView CompactのWebサーバーにおけるテストメール送信機能が本脆弱性の影響を受けます。特に、入力値の検証が不十分な設定が問題となります。

3. 影響を受けた時の兆候

• システムの異常な動作やシャットダウン。
• Webサーバー上のファイルの不正な変更や削除。
• 身に覚えのないプログラムの実行形跡やプロセス。
• ネットワークトラフィックの異常な増加。
• システムログに不審なコマンド実行やエラーの記録。
• CISA KEVカタログに登録されており、Miraiボットネットの拡散に利用された事例があるため、マルウェア感染の兆候にも注意が必要です。

4. 推奨対策

4.1 本対策

開発者が提供する情報に基づき、ファームウェアを最新版にアップデートすることが強く推奨されます。 * 修正済みバージョン: * SV-CPT-MC310 および SV-CPT-MC310F の Ver.7.21以降のバージョンで本脆弱性は修正されています。 * SolarView Compact 8.10以降のバージョンで修正されているとの情報もあります。

4.2 暫定回避策（緩和策）

• インターネットからの隔離: SolarView Compactをインターネットに直接公開しない。必要な場合はVPNなどを利用し、アクセスを制限する。
• 厳格なアクセス制御: Webサーバーへのアクセスを信頼できるネットワークおよびユーザーに限定する。
• 不要な機能の無効化: テストメール送信機能が不要であれば、無効にするか、アクセス制限を強化する。
• IDS/IPSの導入: 産業用侵入検知システム (IDS) を導入し、異常なアクセスやコマンド注入の試みを検知・ブロックする。
• 定期的なセキュリティ監査: システムのセキュリティ設定を定期的に確認し、脆弱性が悪用されていないか監視する。

参照したサイト

• CVE-2022-29303: SolarView Compact — the test mail form runs commands | SCRTY:CRDS
• CVE-2022-29303 - Packet Storm Security
• CVE-2022-29303 — Patch first | CVE Explorer | Peter Bassill
• Active Exploitation of SolarView Compact Command Injection Vulnerabilities - Threat Signal Report | FortiGuard Labs
• CVE-2022-29303 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
• CVE Program Container (CVE-2022-29303) | HOL Guard CVE
• CVE-2022-29303 - SolarView Compact Command Injection Vulnerability | turingpoint
• JVNVU#92327282: Multiple vulnerabilities in CONTEC SolarView Compact
• JVNDB-2022-001923 - JVN iPedia - 脆弱性対策情報データベース
• SolarView Compact(SV-CPT-MC310)の脆弱性について - CONTEC
• JVNVU#92327282: コンテック製SolarView Compactにおける複数の脆弱性
• 数以万计的光伏电站发电监视系统暴露于网络，或将成为黑客的攻击目标
• SolarView Compact Command Injection Vulnerability | Outbreak Alert - FortiGuard Labs
• SolarView Compact(SV-CPT-MC310)の脆弱性について - CONTEC