JVNVU#96335427: 複数のRockwell Automation製品における複数の脆弱性

Rockwell Automationが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2024-7952、CVE-2024-7953、CVE-2024-7956、CVE-2019-14855、CVE-2019-17543、CVE-2019-18276、CVE-2019-19244、CVE-2019-9893、CVE-2019-9923

CVE-2024-9412

CVE-2024-8626

CompactLogix 5380 controllers v33.011からv33.015より前の33系バージョンおよび34.011より前のバージョン
Compact GuardLogix 5380 controllers v33.011からv33.015より前の33系バージョンおよび34.011より前のバージョン
CompactLogix 5480 controllers v33.011からv33.015より前の33系バージョンおよび34.011より前のバージョン
ControlLogix 5580 controllers v33.011からv33.015より前の33系バージョンおよび34.011より前のバージョン
GuardLogix 5580 controllers v33.011からv33.015より前の33系バージョンおよび34.011より前のバージョン
1756-EN4TR v3.002

CVE-2024-9124

CVE-2024-6207

Rockwell Automationが提供する複数の製品には、次の複数の脆弱性が存在します。

認可されていないActorへの機微な情報の漏えい（CWE-200）－CVE-2024-7952
権限チェックの欠如（CWE-862）－CVE-2024-7953
不適切な権限チェック（CWE-863）－CVE-2024-7956
脆弱なサードパーティ製コンポーネントの使用（CWE-1395）－CVE-2019-14855、CVE-2019-17543、CVE-2019-18276、CVE-2019-19244、CVE-2019-9893、CVE-2019-9923
誤ったグループへのユーザの配置（CWE-842）－CVE-2024-9412
リソースの枯渇（CWE-400）－CVE-2024-8626
例外的状況に対する確認が不適切（CWE-754）－CVE-2024-9124
不適切な入力確認（CWE-20）－CVE-2024-6207

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

顧客のデータを取得される（CVE-2024-7952、CVE-2019-14855）
攻撃者が自身のプロジェクトを作成、変更、削除できる（CVE-2024-7953）
プロジェクトの変更および削除をされる（CVE-2024-7956）
リモートコード実行される（CVE-2019-17543、CVE-2019-18276、CVE-2019-9893）
サービス運用妨害（DoS）状態にされる（CVE-2019-19244、CVE-2019-9923、CVE-2024-8626、CVE-2024-9124、CVE-2024-6207）
既にアクセス権限のないデータにアクセスされる（CVE-2024-9412）

アップデートする
開発者は、アップデートを提供しています。

ワークアラウンドを実施する
開発者は、ワークアラウンドの適用も推奨しています。

詳細は、開発者が提供する情報を確認してください。

ベンダ	リンク
Rockwell Automation	SD 1702 \| Sensitive Data Exposure and Escalating Privileges Vulnerabilities in DataMosaix Private Cloud
	SD 1703 \| DataMosaix Private Cloud third-party Vulnerabilities
	SD 1704 \| Improper Authorization Vulnerability in Verve Asset Manager
	SD 1705 \| PowerFlex 6000T CIP Security denial-of-service Vulnerability
	SD 1706 \| Logix Controllers Vulnerable to Denial-of-Service Vulnerability
	SD 1707 \| ControlLogix Vulnerable to Denial of Service via CIP Messages
	Recommended Security Guidelines from Rockwell Automation（要ログイン）

ベンダ	リンク
Rockwell Automation	SD 1702 \| Sensitive Data Exposure and Escalating Privileges Vulnerabilities in DataMosaix Private Cloud
	SD 1703 \| DataMosaix Private Cloud third-party Vulnerabilities
	SD 1704 \| Improper Authorization Vulnerability in Verve Asset Manager
	SD 1705 \| PowerFlex 6000T CIP Security denial-of-service Vulnerability
	SD 1706 \| Logix Controllers Vulnerable to Denial-of-Service Vulnerability
	SD 1707 \| ControlLogix Vulnerable to Denial of Service via CIP Messages
	Recommended Security Guidelines from Rockwell Automation（要ログイン）

JVNVU#96335427 複数のRockwell Automation製品における複数の脆弱性