mbCONNECT24とmyREX24V2に脆弱性、2.21.0で修正
産業用機器の遠隔保守に使うmbCONNECT24とmyREX24V2の管理画面に、XSSの脆弱性が見つかりました。自社で運用している場合は、対象の版を洗い出して2.21.0へ更新してください。
急ぎ度: 早めに
CVSS v3は9.3のcriticalで修正版2.21.0が出ていますが、攻撃にはログイン中の管理者の操作が要り、悪用の確認は示されていないため、至急ではなく早めの更新と判断しました。
関係があるか
mbCONNECT24、mymbCONNECT24、myREX24V2、myREX24V2.virtualを自社や委託先で運用し、管理画面を使っている組織が対象です。工場や設備の遠隔保守に使っている場合は、保守担当の端末も含めて確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| mbCONNECT24（MB connect line） | 2.0.0以上2.21.0未満 | 2.21.0 |
| mymbCONNECT24（MB connect line） | 2.0.0以上2.21.0未満 | 2.21.0 |
| myREX24V2（Helmholz） | ファームウェア2.0.0以上2.21.0未満 | 2.21.0 |
| myREX24V2.virtual（Helmholz） | ファームウェア2.0.0以上2.21.0未満 | 2.21.0 |
確かめ方
- 1社内の資産台帳や保守契約から、上の4製品を自社運用しているかを確認します。
- 2該当する場合は、管理画面やファームウェア情報で現在の版を確認し、2.21.0未満なら対象です。
- 3ベンダーが運用するサービスを使っている場合は、ベンダーの告知で更新済みかを確認します。
何が起きたか
mbCONNECT24とmyREX24V2の管理画面（バックエンド）に、クロスサイトスクリプティング（XSS）の脆弱性があります。悪用されると、ログイン中の管理者のブラウザー上で攻撃者の意図した操作が実行され、サーバーの停止やアップロード済みバックアップの復元といった重要な操作が行われるおそれがあります。データの改ざんとサービス停止につながる内容です。
CWEはCWE-79で、CVSS v3は9.3、CVSS v4は6.4です。v3では影響がこの製品の外にまで及ぶ評価になっています。
Helmholzの勧告には、この脆弱性を含む少なくとも12件が並んでいます。CSRF、パスワード再設定の不備、バックアップの固定パスワード、OSコマンドインジェクションなどで、いずれも修正版は2.21.0です。MB connect lineの2製品については、別の勧告が出ています。
攻撃の流れ
-
1
罠を用意
攻撃者が、細工した内容を管理者に開かせる状況をつくります。
-
2
管理画面で実行
ログイン中の管理者のブラウザー上で、攻撃者の意図した処理が動きます。
-
3
管理者権限で操作
管理者本人の権限で、重要な管理操作が送信されます。
-
4
停止・復元
サーバーの停止や、アップロード済みバックアップの復元が行われます。
どう悪用されるか
攻撃者に認証は要らず、ネットワーク経由で仕掛けられます。ただし成立には、管理画面にログイン中のバックエンド利用者が、細工された内容に触れるという操作が必要です。管理者が管理画面にログインしたまま、メールやWebのリンクを開く場面が経路になります。
被害は、サーバーの停止による可用性の低下と、バックアップの復元による完全性の損失です。勧告の評価では、情報の漏えいは本件の影響に含まれていません。
今すぐやること
-
1
対象の製品と版を洗い出す
mbCONNECT24、mymbCONNECT24、myREX24V2、myREX24V2.virtualの運用有無と版を確認します。委託先が運用している環境も対象に含めます。
-
2
2.21.0へ更新する
修正版に更新します。更新前に取得するバックアップには、固定パスワードで中身を読まれる脆弱性（CVE-2026-60044）が報告されています。保管先のアクセス権を絞り、更新後は不要なバックアップを整理してください。
-
3
ベンダーの告知を確認する
MB connect lineの2製品は、CERT@VDEの勧告VDE-2026-079と、ベンダーの告知で対象版・回避策・更新手順を確認します。
-
4
更新後に操作の跡を調べる
予定外のサーバー停止やバックアップの復元がないかを、管理画面の操作履歴や運用記録で確認します。心当たりがなければ、管理者のパスワード変更も検討します。
すぐ更新できないとき
更新までのつなぎとして、管理画面に接続できる送信元をVPNや社内アドレスに絞ります。管理者は専用のブラウザープロファイルで操作し、作業後はログアウトして、ログイン中に他のサイトやメールのリンクを開かないようにします。ベンダーが示す回避策がある場合は、その告知に従ってください。
背景
mbCONNECT24とmyREX24V2は、工場や設備に置いた産業用ルーターへ離れた場所からつなぎ、機器の遠隔保守を行うための仕組みです。管理画面は、機器への接続だけでなく、サーバーの停止やバックアップの復元も担います。保守担当者が日常的にログインする画面なので、ログイン中の権限を横取りされる種類の脆弱性とは相性が悪く、影響が大きくなります。
Helmholzの勧告には、バックアップの復元機能に関わるOSコマンドインジェクションも並んでいます。こちらは高い権限が前提ですが、バックアップまわりの機能に複数の指摘が集中しているため、更新時はバックアップの扱いも見直しておくと安全です。
よくある質問
Q.管理画面を社内ネットワークだけに閉じていれば、更新は後回しにできますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MB connect linembCONNECT24 |
2.0.0 以上 2.21.0 未満→ 2.21.0 |
2.21.0 |
| MB connect linemymbCONNECT24 |
2.0.0 以上 2.21.0 未満→ 2.21.0 |
2.21.0 |
| HelmholzmyREX24V2 |
2.0.0 以上 2.21.0 未満→ 2.21.0 |
2.21.0 |
| HelmholzmyREX24V2.virtual |
2.0.0 以上 2.21.0 未満→ 2.21.0 |
2.21.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An unauthenticated remote attacker can perform a XSS attack on a logged in backend user allowing for execution of multiple critical system actions. This could allow an attacker to shutdown the server or restore an uploaded backup. This can result in a loss of integrity and availability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web info@cert.vde.com
- web info@cert.vde.com
- web nvd.nist.gov
- web certvde.com
- web certvde.com
- web github.com