JVNVU#96959731
IDEC製PLCにおける複数の脆弱性

IDEC株式会社が提供するPLC（Programmable Logic Controller）には、複数の脆弱性が存在します。

CVE-2024-41927

• FC6A形MICROSmart All-in-One CPUモジュール Ver.2.60およびそれ以前
• FC6B形MICROSmart All-in-One CPUモジュール Ver.2.60およびそれ以前
• FC6A形MICROSmart Plus CPUモジュール Ver.2.40およびそれ以前
• FC6B形MICROSmart Plus CPUモジュール Ver.2.60およびそれ以前
• FT1A形コントローラ SmartAXIS Pro/Lite Ver.2.41およびそれ以前

• FC6A形MICROSmart All-in-One CPUモジュール Ver.2.60およびそれ以前
• FC6B形MICROSmart All-in-One CPUモジュール Ver.2.60およびそれ以前
• FC6A形MICROSmart Plus CPUモジュール Ver.2.40およびそれ以前
• FC6B形MICROSmart Plus CPUモジュール Ver.2.60およびそれ以前

IDEC株式会社が提供するPLCには、次の複数の脆弱性が存在します。

• 重要な情報の平文送信（CWE-319）
  • CVSS:3.0/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 4.6
  • CVE-2024-41927
• 予測可能なIDの使用（CWE-340）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L 基本値 5.3
  • CVE-2024-28957
  • 本脆弱性は当該PLCが使用する、Centeミドルウェアの影響によるものです

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 攻撃者によってPLCのシリアル通信ポートから特定のコマンドを送信された場合、ユーザの認証情報を取得される。その結果、PLCのプログラムが取得され、PLCを不正に操作される（CVE-2024-41927）
• 当該製品が送信するパケットのヘッダに含まれる一部のIDを予測され、通信を妨害される（CVE-2024-28957）

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• FC6A形MICROSmart All-in-One CPUモジュール Ver.2.70
• FC6B形MICROSmart All-in-One CPUモジュール Ver.2.70
• FC6A形MICROSmart Plus CPUモジュール Ver.2.50
• FC6B形MICROSmart Plus CPUモジュール Ver.2.70
• FT1A形コントローラ SmartAXIS Pro/Lite Ver.2.50