公開日：2023/03/03　最終更新日：2023/04/07

JVNVU#94966432
ジェイテクトエレクトロニクス製Kostac PLC Programming Softwareにおける複数の脆弱性

概要

株式会社ジェイテクトエレクトロニクスが提供するKostac PLC Programming Softwareには、複数の脆弱性が存在します。

影響を受けるシステム

  • Kostac PLC Programming Software (旧名称：Koyo PLC Programming Software) Version 1.6.9.0およびそれ以前

詳細情報

株式会社ジェイテクトエレクトロニクスが提供するKostac PLC Programming Softwareには、次の複数の脆弱性が存在します。

  • 境界外読み込み（CWE-125）- CVE-2023-22419、CVE-2023-22421
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
  • 解放済みメモリの使用（Use-after-free）（CWE-416）- CVE-2023-22424
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8

想定される影響

細工されたKostac PLC Programming Softwareのプロジェクトファイルをユーザが開いた際、次のような影響を受けて、情報が漏えいしたり、任意のコードが実行されたりする可能性があります。

CVE-2023-22419
ステージ情報内のコメントブロックを処理する中でデータの終端を確認できず、境界外メモリ読み込みが発生。

CVE-2023-22421
PLCプログラムの命令が使用するバッファサイズが不足し、境界外メモリ読み込みが発生。

CVE-2023-22424
PLCプログラムを配置する最大列数が異常値になり、解放済みメモリへのアクセスが発生。

対策方法

アップデートする
開発者が提供する情報をもとに、Kostac PLC Programming Softwareをアップデートしてください。
開発者は、次のバージョンにおいて本脆弱性の対策を⾏っています。

  • Kostac PLC Programming Software Version 1.6.10.0およびそれ以降
アップデートは開発者が提供する次のダウンロードサイトから入手できます。

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
株式会社ジェイテクトエレクトロニクス 該当製品あり 2023/03/03 株式会社ジェイテクトエレクトロニクス の告知ページ

参考情報

  1. ICS Advisory | ICSA-23-096-03
    JTEKT ELECTRONICS Kostac PLC Programming Software

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: Michael Heinzl 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2023-22419
CVE-2023-22421
CVE-2023-22424
JVN iPedia

更新履歴

2023/04/07
［参考情報］にICS Advisoryのリンクを追加しました