公開日:2022/04/04 最終更新日:2022/04/04

JVNVU#94149543
富士電機製Alpha5のローダソフトにおける複数の脆弱性

概要

富士電機株式会社が提供するAlpha5のローダソフトには、複数の脆弱性が存在します。

影響を受けるシステム

  • ALPHA5 Smart ローダソフト Ver4.3より前のすべてのバージョン

詳細情報

富士電機株式会社が提供するAlpha5はサーボシステムです。Alpha5のローダソフトには、次の複数の脆弱性が存在します。

  • 初期化されていないポインタへのアクセス (CWE-824) - CVE-2022-21168
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N 基本値: 3.3
  • 境界外読み込み (CWE-125) - CVE-2022-21202
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N 基本値: 3.3
  • 境界外読み込み (CWE-125) - CVE-2022-24383
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
  • スタックベースのバッファオーバーフロー (CWE-121) - CVE-2022-21228
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
  • ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2022-21214
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8

想定される影響

想定される影響は各脆弱性により異なりますが、当該製品にローカルネットワーク上からアクセス可能な第三者によって、次のような影響を受ける可能性があります。

  • 当該製品上の情報が漏えいする - CVE-2022-21168
  • 当該製品上の機微な情報が漏えいする - CVE-2022-21202
  • 任意のコードを実行される - CVE-2022-24383, CVE-2022-21228, CVE-2022-21214

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、本脆弱性を修正したALPHA5 Smart ローダソフト Ver4.4をリリースしています。

ベンダ情報

ベンダ リンク
富士電機株式会社 ALPHA5_ALPHA5 Smart ローダソフト Ver4.4

参考情報

  1. ICS Advisory (ICSA-22-090-03)
    Fuji Electric Alpha5

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia