JVNVU#94528170
Rockwell Automation製PowerMonitor 1000における複数の脆弱性

Rockwell Automationが提供するPowerMonitor 1000には、複数の脆弱性が存在します。

以下のPowerMonitor 1000が、本脆弱性の影響を受けます。

• PM1k 1408-BC3A-485 4.020より前のバージョン
• PM1k 1408-BC3A-ENT 4.020より前のバージョン
• PM1k 1408-TS3A-485 4.020より前のバージョン
• PM1k 1408-TS3A-ENT 4.020より前のバージョン
• PM1k 1408-EM3A-485 4.020より前のバージョン
• PM1k 1408-EM3A-ENT 4.020より前のバージョン
• PM1k 1408-TR1A-485 4.020より前のバージョン
• PM1k 1408-TR2A-485 4.020より前のバージョン
• PM1k 1408-EM1A-485 4.020より前のバージョン
• PM1k 1408-EM2A-485 4.020より前のバージョン
• PM1k 1408-TR1A-ENT 4.020より前のバージョン
• PM1k 1408-TR2A-ENT 4.020より前のバージョン
• PM1k 1408-EM1A-ENT 4.020より前のバージョン
• PM1k 1408-EM2A-ENT 4.020より前のバージョン

Rockwell Automationが提供するPowerMonitor 1000には、次の複数の脆弱性が存在します。

• 保護されていない代替チャネル（CWE-420）－CVE-2024-12371
• ヒープベースのバッファオーバーフロー（CWE-122）－CVE-2024-12372
• バッファーオーバーフロー（CWE-120）－CVE-2024-12373

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• API経由で新たに高権限ユーザーであるPolicyholderユーザーを作成され、デバイスを不正に操作される（CVE-2024-12371）
• システム上でコードが実行されたり、サービス運用妨害（DoS）状態にされたりする（CVE-2024-12372）
• サービス運用妨害（DoS）状態にされる（CVE-2024-12373）

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。一連の脆弱性を修正したファームウェアバージョン4.020が提供されています。

ワークアラウンドを実施する
開発者は、上記のアップデートが適用できない場合、Security Best Practicesの適用を推奨しています。

詳細は開発者が提供する情報を確認してください。