JVNVU#95282683
ジェイテクトエレクトロニクス製Kostac PLC Programming Softwareにおける複数の脆弱性

株式会社ジェイテクトエレクトロニクスが提供するKostac PLC Programming Softwareには、複数の脆弱性が存在します。

• Kostac PLC Programming Software (旧名称：Koyo PLC Programming Software) Version 1.6.11.0およびそれ以前

株式会社ジェイテクトエレクトロニクスが提供するKostac PLC Programming Softwareには、次の複数の脆弱性が存在します。

• 二重開放（CWE-415）- CVE-2023-41374

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 解放済みメモリの使用（Use-after-free）（CWE-416）- CVE-2023-41375

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

Kostac PLC Programming Softwareのプロジェクトファイルの解析が不十分なため、攻撃者がKostac PLC Programming Software Version 1.6.9.0およびそれ以前のバージョンで保存したファイルを細工し、その細工されたファイルをユーザが開くことで、任意のコードが実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、Kostac PLC Programming Softwareをアップデートしてください。
開発者は、次のバージョンにおいて本脆弱性の対策を⾏っています。

• Kostac PLC Programming Software Version 1.6.12.0およびそれ以降

アップデートは開発者が提供する次のダウンロードサイトから入手できます。

• PLCの資料を探す - ダウンロード｜株式会社ジェイテクトエレクトロニクス(旧 光洋電子工業）
• PLC - Download｜JTEKT ELECTRONICS CORPORATION

ワークアラウンドを実施する
開発者によると、Kostac PLC Programming Software Version 1.6.10.0およびそれ以降で保存されたファイルに対しては、改ざん防止機能が有効となっているとのことです。
そのため、Kostac PLC Programming Software Version 1.6.9.0およびそれ以前で保存したファイルに関しては、Kostac PLC Programming Software Version 1.6.10.0およびそれ以降で保存しなおすことで、本脆弱性の影響を軽減することが可能です。