JVNVU#96783966
複数のRockwell Automation製品における複数の脆弱性

Rockwell Automationが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2025-7973

• FactoryTalk Viewpoint Version 14.00およびそれ以前のバージョン

• FactoryTalk Linx 6.50より前のバージョン

• PLC Micro820 LC20 V14.011およびそれ以前のバージョン
• PLC Micro850 LC50 V12.013およびそれ以前のバージョン
• PLC Micro870 LC70 V12.013およびそれ以前のバージョン
• PLC Micro850 L50E バージョン V20.011からV22.011
• PLC Micro870 L70E バージョン V20.011からV22.011

• PLC Micro850 L50E バージョン V20.011からV22.011
• PLC Micro870 L70E バージョン V20.011からV22.011

• 5069-IF8 バージョン V2.011

• 5069-IY8 バージョン V2.011

• 5032-CFGB16M12P5DR 1.011およびそれ以前のバージョン
• 5032-CFGB16M12DR 1.011およびそれ以前のバージョン
• 5032-CFGB16M12M12LDR 1.011およびそれ以前のバージョン

• 1756-EN2T/D Version 11.004およびそれ以前のバージョン
• 1756-EN2F/C Version 11.004およびそれ以前のバージョン
• 1756-EN2TR/C Version 11.004およびそれ以前のバージョン
• 1756-EN3TR/B Version 11.004およびそれ以前のバージョン
• 1756-EN2TP/A Version 11.004 or below

• Studio 5000 Logix Designer バージョン 36.00.02から37.00.02

• FactoryTalk Action Manager 1.0.0

• 1756-ENT2R 7.001より前のバージョン
• 1756-EN4TR 7.001より前のバージョン
• 1756-EN4TRXT 7.001より前のバージョン

Rockwell Automationが提供する複数の製品には、次の複数の脆弱性が存在します。

• 複数の権限などの組み合わせによる想定外の操作（CWE-268）
  • CVE-2025-7973
• 不適切なユーザ管理（CWE-286）
  • CVE-2025-7972
• 脆弱なサードパーティコンポーネントへの依存（CWE-1395）
  • CVE-2023-48691、CVE-2023-48692、CVE-2023-48693
• 不適切な入力検証（CWE-20）
  • CVE-2025-7693、CVE-2025-7861、CVE-2025-7862、CVE-2025-7971、CVE-2025-8007
• 権限設定の不備（CWE-863）
  • CVE-2025-7773
• 重要な機能に対する認証の欠如（CWE-306）
  • CVE-2025-7774
• 安全ではない値を用いたリソースの初期化（CWE-1188）
  • CVE-2025-7353
• 情報漏えい（CWE-200）
  • CVE-2025-9036
• 例外的な状況に対する処理が不適切（CWE-755）
  • CVE-2025-8008

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• SYSTEM権限で実行されるcscript.exeコンソールウィンドウを乗っ取られ、権限を昇格される（CVE-2025-7973）
• FTLinxドライバを作成、更新、削除される（CVE-2025-7972）
• Azure RTOS NETX Duoの脆弱性によって、遠隔からコードを実行される（CVE-2023-48691、CVE-2023-48692）
• Azure RTOS NETX Duoの脆弱性によって、任意の読み取りと書き込みを行われ、権限を昇格される（CVE-2023-48693）
• サービス運用妨害（DoS）状態を引き起こされる（CVE-2025-7693、CVE-2025-7861、CVE-2025-7862、CVE-2025-8007、CVE-2025-8008）
• Webサーバーのセッション番号を予測される（CVE-2025-7773）
• 権限のないユーザーによって、特権での操作を実行される（CVE-2025-7774）
• メモリダンプをされたり、メモリを改ざんされたり、実行フローを制御されたりされる（CVE-2025-7353）
• 悪意のあるコードを実行される（CVE-2025-7971）
• 再利用可能なAPIトークンを傍受される（CVE-2025-9036）

アップデートする
開発者は、PLC Micro820 LC20を除き、各製品へのアップデートを提供しています。
PLC Micro820 LC20のアップデートについては2025年9月のリリースを予定しているとのことです。
詳細は、開発者が提供する情報を確認してください。