公開日：2025/02/28　最終更新日：2025/09/10

JVNVU#92973034
複数のSchneider Electric製品における境界外書き込みの脆弱性

概要

Schneider Electricが提供する複数の製品には、境界外書き込みの脆弱性が存在します。

影響を受けるシステム

  • Modicon M580 communication modules BMENOC BMENOC0321 SV1.10より前のバージョン
  • Modicon M580 communication modules BMECRA BMECRA31210 SV02.80より前のバージョン
  • Modicon M580/Quantum communication modules BMXCRA BMXCRA31200 SV02.80より前のバージョン
  • Modicon M580/Quantum communication modules BMXCRA BMXCRA31210 SV02.80より前のバージョン
  • Modicon Quantum communication modules 140CRA 140CRA31908 V02.80より前のバージョン
  • Modicon Quantum communication modules 140CRA 140CRA31200 V02.80より前のバージョン

詳細情報

Schneider Electricが提供する複数の製品には、次の脆弱性が存在します。

  • 境界外書き込み（CWE-787）
    • CVE-2021-29999
本脆弱性は、Wind River VxWorks 6.8およびそれ以前のバージョンで確認された、DHCPサーバーにおけるスタックオーバーフローの問題です。

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

  • 機密性や完全性を損なわれ、機器をサービス運用妨害（DoS）状態にされる

対策方法

アップデートする
本脆弱性を修正したバージョンを以下からダウンロード可能です。

詳細は、開発者が提供する情報を確認してください。

ベンダ情報

ベンダ リンク
Schneider Electric SEVD-2025-014-03 | Wind River VxWorks DHCP server vulnerability（PDF）
Recommended Cybersecurity Best Practices

参考情報

  1. ICS Advisory | ICSA-25-058-01
    Schneider Electric Communication Modules for Modicon M580 and Quantum Controllers
  2. Wind River Systems, Inc.
    CVE-2021-29999

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2025/04/18
［影響を受けるシステム］、［対策方法］のBMECRA、BMXCRAの情報を更新しました
2025/09/10
［影響を受けるシステム］、［対策方法］の140CRAの情報を更新しました