ドイツの Weidmueller 産業用 WLAN デバイスに深刻な脆弱性

Weidmueller Patches Dozen Vulnerabilities in Industrial WLAN Devices

2021/06/24 SecurityWeek — 水曜日のこと、ドイツに拠点を置く産業用ソリューション・プロバイダーの Weidmueller は、同社の一部の産業用 WLAN デバイスに影響を与える、12の脆弱性に対するパッチを適用したと顧客に通知した。Weidmueller は、機械／エネルギー／デバイス製造／輸送／プロセス／建築インフラなどの分野を対象に、接続製品／電子機器／自動化製品／組立製品／作業場製品などを世界中の企業に提供している。

また、産業用オートメーションに関する、サイバー・セキュリティを調整しているドイツの CERT@VDE も、セキュリティ勧告を発している。その内容は、Weidmueller の産業用 WLAN デバイスで発見された、12種類の脆弱性に関するものである。このセキュリティ・ホールは、ファームウェア 1.16.21 (build 21010513)と 1.11.13 (build 21010513) 未満が対象となり、無線アクセスポイント／ブリッジ／クライアント機器に影響する。最新のファームウェアをインストールし、機器のセキュリティを確保することが、顧客に対して強く推奨されている。脆弱性 CVE-2021-33528 と CVE-2021-33539 を悪用すると、特権の昇格／トラフィックの復号／任意のコード・コマンドの実行／サービス拒否攻撃 (DoS)／認証バイパスなどが可能になる。

これらの欠陥を悪用するには、低い権限であっても認証が必要であり、認証バイパスの脆弱性が他の脆弱性と連鎖するかどうかは不明だと、この記事は指摘しています。しかし、Weidmuller と CERT@VDE は、深刻度が高い脆弱性だと評価しています。グローバル市場で Weidmueller 製品が使用されていることから、過去には米国の CISA (Cybersecurity and Infrastructure Security Agency) も、同社製品に関する脆弱性を発表しています。しかし、今回の欠陥について、現時点では CISA からの勧告は発表されていません。