JVNVU#95803527
複数の Rockwell Automation Logix コントローラ製品に認証情報の不十分な保護の脆弱性

複数の Rockwell Automation Logix コントローラ製品には認証情報の不十分な保護の脆弱性が存在します。

以下のバージョンの Rockwell ソフトウェアが影響を受けます。

• RSLogix 5000 バージョン 16 から 20 まで
• Studio 5000 Logix Designer バージョン 21 およびそれ以降
• FactoryTalk Security (FactoryTalk Services Platform の一部) v2.10 およびそれ以降

以下のバージョンの Rockwell Logix コントローラが影響を受けます。

• CompactLogix 1768
• CompactLogix 1769
• CompactLogix 5370
• CompactLogix 5380
• CompactLogix 5480
• ControlLogix 5550
• ControlLogix 5560
• ControlLogix 5570
• ControlLogix 5580
• DriveLogix 5560
• DriveLogix 5730
• DriveLogix 1794-L34
• Compact GuardLogix 5370
• Compact GuardLogix 5380
• GuardLogix 5570
• GuardLogix 5580
• SoftLogix 5800

Rockwell Automation 社が提供する Studio 5000 Logix Designer には認証情報の不十分な保護により認証メカニズムをバイパスできる脆弱性 (CWE-522) が存在します。

認証されていない遠隔の第三者によって、認証メカニズムをバイパスして Logix コントローラに接続されたり、許可されていないサードパーティー製ツールを利用して Logix コントローラの構成やアプリケーションコードを変更されたりする可能性があります。

ワークアラウンドを実施する
本脆弱性を修正するパッチは提供されません。
Rockwell Automation 社によると、製品個別の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。
また同社はセキュリティガイドラインに沿った一般的な対策をあわせて、適用することを推奨しています。

共通
　　詳細はRockwell Automation 社が提供する Rockwell Automation’s System Security Design Guidelines などを参照してください。

• すべてのコントロールデバイスやシステムのネットワークへの接続を最小限に抑え、インターネットからアクセスできないようにする
• コントロールシステムネットワークとデバイスをファイアウォールで防御し、業務用ネットワークから分離する
• 44818/TCP ポートへの外部からのアクセスを制限、もしくはブロックする
  • Rockwell Automation 製品が使用する TCP/UDP ポートについては、BF7490 (要ログイン) を参照してください
• リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する

ControlLogix 5580 v32 およびそれ以降

• コントローラのモードスイッチを Run に設定する。
• Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。
  • フロントポートを介して Logix Designer 接続用の CIP Security を適用する。
  • フロントポートを利用しない場合は 1756-EN4TR ControlLogix Ethernet/IP Module を使用して CIP Security を適用する。

ControlLogix 5580 v31

• コントローラのモードスイッチを Run に設定する。
• Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。
  • v32 以降にアップデートし v32 のワークアラウンドを適用する。
  • v32 以降にアップデートできない場合、1756-EN4TR Controll Logix Ethernet/IP Module を使用して CIP Security を適用する。

ControlLogix 5570 v31 およびそれ以降

• コントローラのモードスイッチを Run に設定する。
• Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。
  • 1756-EN4TR Controll Logix Ethernet/IP Module を使用して CIP Security を適用する。

ControlLogix 5580 v28-v30、ControlLogix 5570 v18 およびそれ以降、ControlLogix 5560 v16 およびそれ以降、ControlLogix 5550 v16、GuardLogix 5580 v31 およびそれ以降、GuardLogix 5570 v20 およびそれ以降、GuardLogix 5560 v16 およびそれ以降, 1768 CompactLogix v16 およびそれ以降、1769 CompactLogix v16 およびそれ以降、CompactLogix 5370 v20 およびそれ以降、CompactLogix 5380 v28 およびそれ以降、CompactLogix 5480 v32 およびそれ以降、Compact GuardLogix 5370 v28 およびそれ以降、Compact GuardLogix 5380 v31 およびそれ以降、FlexLogix 1794-L34 v16、DriveLogix 5370 v16 およびそれ以降

• コントローラのモードスイッチを Run に設定する。

SoftLogix 5800

• 緩和策は提供されていません。一般的な多層防御戦略については Converged Plantwide Ethernet (CPwE) Design and Implementation Guide を参照してください。