mySCADA myPRO 7 ハードコードされた認証情報

CVE-2018-11311

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-11311

https://www.exploit-db.com/exploits/44656/

http://myscada.org/wp-content/uploads/downloads/BOXv7/changelog.txt

Changelog v7.0.46
-----------------
- fix of possible vulnerability as described here https://vuldb.com/?id.118038
  - This release disables download of project using FTP protocol. The download is performed over secure SSL channel now. 
  - You don't have to do anything to activate this, it is done automatically. After the installation restart your system TWICE please. 
- minor bug fixes - speed optimisation

I. 背景

myPRO は、産業プロセスの可視化と制御を主目的として設計された、プロフェッショナル向け HMI/SCADA システムです。myPRO は、ノンストップでの運用が必要とされるあらゆる業界にとって、効果的かつ革新的なソリューションです。myPRO は、信頼性の高い監視、使いやすいインターフェース、そして優れたセキュリティを保証します。 Windows OS（32/64ビット）、Mac OS X、Linux（32/64ビット）の各プラットフォームをサポートしています。（詳細: https://www.myscada.org/mypro/）

II. 問題の説明

最新版の myPRO（v7）において、ポート2121で稼働する FTP サーバーのユーザー名とパスワード情報が、リバースエンジニアリングによってファイル内に保持されていることが発見されました。認証済みアカウントで FTP サーバーに接続できる者は、myPRO ソフトウェアが稼働するサーバー上でファイルをアップロードまたはダウンロードすることができます。

III. 技術的詳細

まず、myPRO がリッスンしているポートを特定しました。netstat コマンドを使用すると、ポートとそこで稼働しているサービスに関する情報を取得できます。画像からわかるように、myPRO をインストールすると、多くのポートが開いていることが確認できます。この脆弱性は、サポートされているすべてのプラットフォームで発生します。