Weintek EasyWeb cMTシリーズに最高値で緊急の脆弱性、すぐにアップデートを

United States Computer Emergency Readiness Team (US-CERT)は3月23日(米国時間)、「Weintek EasyWeb cMT｜CISA」において、Weintek EasyWeb cMTシリーズに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、遠隔から認証されていない攻撃者が機密情報にアクセスしたり、任意のコードを実行したり、特権昇格を実施したりといったことが可能になるおそれがある。

脆弱性に関する情報は次のページからたどることができる。

• cMT EasyWeb V1 Security Fixes - Technical Notice - 2021-03-17 (Rev. 1
• Welcome to Weintek.com - Download

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

• cMT-SVR-1xx/2xxバージョン20210305よりも前のバージョン
• cMT-G01/G02バージョン20210209よりも前のバージョン
• cMT-G03/G04バージョン20210222よりも前のバージョン
• cMT3071/cMT3072/cMT3090/cMT3103/cMT3151バージョン20210218よりも前のバージョン
• cMT-HDMバージョン20210204よりも前のバージョン
• cMT-FHDバージョン20210208よりも前のバージョン
• cMT-CTRL01バージョン20210302よりも前のバージョン

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

• cMT-SVR-1xx/2xxバージョン20210305
• cMT-G01/G02バージョン20210209
• cMT-G03/G04バージョン20210222
• cMT3071/cMT3072/cMT3090/cMT3103/cMT3151バージョン20210218
• cMT-HDMバージョン20210204
• cMT-FHDバージョン20210208
• cMT-CTRL01バージョン20210302

• Weintek EasyWeb cMT｜CISA

この脆弱性は深刻度がCVSSv3スコアで最高値の10と評価されており、緊急（Critical）に分類されている。脆弱性を悪用するために必要とされるスキルレベルは低く、遠隔から悪用可能。Weintek EasyWeb cMTシリーズの複数のプロダクトとバージョンが影響を受けることから注意が必要。該当するプロダクトを使用している場合は迅速に問題が修正されたバージョンへのアップデートを実施することが望まれる。

このところ、重要インフラで使われている制御システムを標的としたサイバー攻撃が増加している。制御システムを構成するデバイスは一度設置されるとバージョンアップが行われることなく使われることがあり、サイバー攻撃者にとって格好の標的となっている。最近、制御システムの脆弱性報告が相次いでいる背景にはこうした事情がある。