JVNVU#95809167
複数のRockwell Automation製品における複数の脆弱性

Rockwell Automationが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2022-1161

• 1768 CompactLogixコントローラ
• 1769 CompactLogixコントローラ
• CompactLogix 5370コントローラ
• CompactLogix 5380コントローラ
• CompactLogix 5480コントローラ
• Compact GuardLogix 5370コントローラ
• Compact GuardLogix 5380コントローラ
• ControlLogix 5550コントローラ
• ControlLogix 5560コントローラ
• ControlLogix 5570コントローラ
• ControlLogix 5580コントローラ
• GuardLogix 5560コントローラ
• GuardLogix 5570コントローラ
• GuardLogix 5580コントローラ
• FlexLogix 1794-L34コントローラ
• DriveLogix 5730コントローラ
• SoftLogix 5800コントローラ

CVE-2022-1159
Studio 5000 Logix Designerを使用して設計や設定を行う次のLogixコントローラ

• ControlLogix 5580コントローラ
• GuardLogix 5580コントローラ
• CompactLogix 5380コントローラ
• CompactLogix 5480コントローラ
• Compact GuardLogix 5380コントローラ

Rockwell Automationが提供する複数の製品には、次の複数の脆弱性が存在します。

• 信頼できない制御領域からの機能の組み込み (CWE-829) - CVE-2022-1161

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 10.0

• コードインジェクション (CWE-94) - CVE-2022-1159

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

  基本値: 7.7

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• ユーザプログラムを変更可能な遠隔の第三者によって、ユーザが読めるユーザプログラム（テキストコード）の内容を変更されずにコンパイルされたユーザプログラム（バイトコード）を変更される - CVE-2022-1161
• Studio 5000 Logix Desingerが動作するワークステーションの管理者権限を持つ第三者によって、ユーザに気付かれない状態でユーザプログラムにコードを挿入される - CVE-2022-1159

ワークアラウンドを実施する
開発者は、以下のワークアラウンドの適用を推奨しています。

CVE-2022-1161
ControlLogix 5560、ControlLogix 5570、ControlLogix 5580シリーズ、GuardLogix 5570、GuardLogix 5580、GuardLogix 5380、CompactLogix、CompactLogix 5380コントローラには、次の緩和策を適用する必要があります。

リスク軽減策A：

• acdファイルなどのプロジェクトファイルを使用してユーザプログラムを再コンパイルし、コントローラでダウンロードする
• コントローラのモードスイッチをRUNの位置にセットにする

コントローラのモードスイッチをRUNの位置にセットした状態での運用が現実的でない場合は、次の緩和策を使用してください。

• acdファイルなどのプロジェクトファイルを使用してユーザプログラムを再コンパイルし、コントローラでダウンロードする
• 予期しない変更や異常な動作がないかについて、コントローラの変更ログを監視する
• Controller Log機能を利用する
• Logix DesignerのChange Detectionを利用する
• 可能であれば、FactoryTalk AssetCenterの機能を使用して変更を検出する

リスク軽減策B：
CIP Securityを実装して不正な接続を防止します。対応するコントローラと通信モジュールは次のとおりです。

• オンボードのEtherNet/IPポートを使用するControlLogix 5580プロセッサ
• オンボードのEtherNet/IPポートを使用するGuardLogix 5580プロセッサ
• ControlLogix向けEthernet/IP通信モジュールの1756-EN4TRを使用してHigh Availability（HA）構成で動作するControlLogix 5580プロセッサ
• ControlLogix 5560、ControlLogix 5570、ControlLogix 5580、GuardLogix 5570、GuardLogix 5580には、1756-EN4TRが使用可能
  • 1756-EN2Tを使用している場合は、1756-EN4TRと交換する
• オンボードのEtherNet/IPポートを使用するCompactLogix 5380
• オンボードのEtherNet/IPポートを使用するCompactLogix GuardLogix 5380

1768 CompactLogix、1769 CompactLogix、CompactLogix 5370、CompactLogix 5480コントローラには、次の緩和策を適用する必要があります。

• acdファイルなどのプロジェクトファイルを使用してユーザプログラムを再コンパイルし、コントローラでダウンロードする
• コントローラのモードスイッチをRUNの位置にセットにする

コントローラのモードスイッチをRUNの位置にセットした状態での運用が現実的でない場合は、次の緩和策を使用してください。

• acdファイルなどのプロジェクトファイルを使用してユーザプログラムを再コンパイルし、コントローラでダウンロードする
• 予期しない変更や異常な動作がないかについて、コントローラの変更ログを監視する
• Controller Log機能を利用する
• Logix DesignerのChange Detectionを使用する
• 可能であれば、FactoryTalk AssetCenterの機能を使用して変更を検出する

CVE-2022-1159
Logix Designerには、この脆弱性を直接緩和する対策はありません。ただし、コントローラに存在するユーザプログラムがダウンロードされたものと同一であるかどうかを検証する方法があります。このユーザプログラムの検証は、次の方法で実行できます。

• Logix DesignerのCompare Tool v9およびそれ以降を必要に応じて使用する
• FactoryTalk AssetCentre v12およびそれ以降のユーザプログラム検証を定期的に使用する（2022年秋に提供開始予定）

これらの機能を使用するためには、次のバージョンへのアップグレードが必要です。

• Studio 5000 v34およびそれ以降
• Logix 5580、5380、5480、GuardLogix 5580、Compact GuardLogix 5380コントローラの対応するファームウェアバージョン
• 次の比較ツールのいずれか
  • Logix DesignerのCompare Tool v9およびそれ以降（Studio 5000 Logix Designerのインストールに含まれる）
  • FactoryTalk AssetCentre v12およびそれ以降（2022年秋に提供開始予定）

このユーザプログラムの比較は、侵害されていないワークステーションで実行する必要があります。