脆弱性の内容
OPC Spider に、以下の脆弱性が存在します。 当該製品にアクセス可能な攻撃者が ScriptRunner または ScriptRunner for Amazon SQS の起動設定ファイルを入手した場合に、ハードコードされた暗号鍵を使用して暗号化されている認証情報を復号される可能性があります。
| CVE番号 | CVSS v3.1 基本値 | 概要 | 参考情報 |
|---|---|---|---|
| CVE-2023-28937 | 8.8（High） | ScriptRunner の起動設定ファイルにおけるハードコードされた暗号鍵の使用 | NVD |
対象製品
| 製品名 | 対象バージョン |
|---|---|
| OPC Spider | Ver. 1.2.1 以前 |
対策版の提供
| 製品名 | 対策済みバージョン |
|---|---|
| OPC Spider | Ver. 1.2.2 |
対策版適用後の作業
対策版へのアップデート後、暗号化済みの認証情報を再暗号化する必要があります。
ScriptRunner をご利用の場合
アップデート後、すべての起動設定ファイルに対して、以下の手順で再暗号化を行ってください。
- 起動設定ファイルを開き、password 要素の値を平文のパスワードに置き換えます。
- password 要素の encrypt 属性を [false] にする、または属性を削除します。
- ヘルプ「ScriptRunner」ページの「起動設定ファイルのパスワード暗号化」項に従い、1. で記述したパスワードを暗号化します。
起動設定ファイルを別の環境で使用する場合は、上記の手順を再度行う必要があります。
ScriptRunner for Amazon SQS をご利用の場合
アップデート後、すべての起動設定ファイルおよびプロパティファイルに対して、以下の手順で再暗号化を行ってください。
- 起動設定ファイルを開き、secretkey 要素および password 要素の値を平文のシークレットキー・パスワードに置き換えます。
- secretkey 要素および password 要素の encrypt 属性を [false] にする、または属性を削除します。
- ヘルプ「ScriptRunner for Amazon SQS」ページの「起動設定ファイルのシークレットキー・パスワード暗号化」項に従い、1. で記述したシークレットキー・パスワードを暗号化します。
- プロパティファイルを開き、AWS_SECRET_KEY キーの値を平文のシークレットキーに置き換えます。
- ENCRYPTED キーの値を [false] にする、または ENCRYPTED キーを削除します。
- ヘルプ「ScriptRunner for Amazon SQS」ページの「プロパティファイルのシークレットキー暗号化」項に従い、4. で記述したシークレットキーを暗号化します。
起動設定ファイル、およびプロパティファイルを別の環境で使用する場合は、上記の手順を再度行う必要があります。
お問い合わせ
fa-support@takebishi.co.jp
更新履歴
- 2023.05.01: 初版公開