JVNVU#90321391
複数のRockwell Automation製品における複数の脆弱性

Rockwell Automationが提供する複数の製品には、複数の脆弱性が存在します。

• Industrial Data Center (IDC) with VMware ジェネレーション1から4
• VersaVirtual Appliance (VVA) with VMware シリーズAおよびB
• Threat Detection Managed Services (TDMS) with VMware すべてのバージョン
• Endpoint Protection Service with RA Proxy & VMware only すべてのバージョン
• Engineered and Integrated Solutions with VMware すべてのバージョン

Rockwell Automationが提供する複数の製品には、次の複数の脆弱性が存在します。

• Time-of-check Time-of-use (TOCTOU) 競合状態（CWE-367）
  • CVE-2025-22224
• 任意の場所に任意の値を書き込み可能な状態（CWE-123）
  • CVE-2025-22225
• 境界外読み取り（CWE-125）
  • CVE-2025-22226

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• ローカルの管理者権限を持つ攻撃者によって、コードを実行される（CVE-2025-22224）
• VMXプロセス内で特権を持つ攻撃者によって、任意のカーネル書き込みを行われ、結果としてサンドボックスをエスケープされる（CVE-2025-22225）
• 管理者権限を持つ攻撃者によって、vmxプロセスからメモリを漏洩される（CVE-2025-22226）

ワークアラウンドを実施する
開発者は、該当するマネージドサービス契約のあるユーザーへ、改善策を話し合うために連絡を取るとのことです。
マネージドサービス契約のないユーザーに対しては、Broadcomのアドバイザリの参照を推奨しています。
詳細は、開発者が提供する情報を確認してください。