オムロン株式会社からの情報

平素は弊社製品をご愛顧いただき誠にありがとうございます。
早速ですが、今回弊社製品に対して複数の脆弱性があることが判明しましたので、下記の通りご報告します。
お客様におかれましては、特に下記5項の対策方法をご参照いただき、お客様の設備、ラインの安全性を確保していただきますようお願いいたします。

1. 影響を受けるシステム
各脆弱性内容により影響を受けるシステムは以下の通りです。
1) CVE-2022-31204
弊社PLC CS/CJ/CPシリーズの以下のバージョンおよび弊社PLCプログラミングツールの以下のバージョン
CS1 Ver.4.1より前のバージョン、CJ2M Ver2.1より前のバージョン、CJ2H Ver1.5より前のバージョン、CP1E/CP1H Ver1.30より前のバージョン、CX-Programmer Ver9.6より前のバージョン
2) CVE-2022-31205
以下のPLC周辺ユニット
CP1W-CIF41 (全バージョン)
3) CVE-2022-31206
弊社PLC NJ/NXシリーズの以下のバージョン
NJ/NX Ver1.49 (NX7はVer1.29) より前のバージョン
4) CVE-2022-31207
弊社PLC CS/CJ/CPシリーズの全バージョン

2. 脆弱性内容
機微な情報の平⽂通信（CWE-319）- CVE-2022-31204 CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N 基本値: 6.5
認証情報の平⽂保存（CWE-256）- CVE-2022-31205 CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N 基本値: 6.5
データの信頼性についての不⼗分な検証（CWE-345）- CVE-2022-31207 CVSS v3 CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:H 基本値: 5.9
デジタル署名の不適切な⼊⼒確認（CWE-347）- CVE-2022-31206 CVSS v3 CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:N 基本値: 4.4

3. 想定される影響
脆弱性を悪用したパスワードの奪取とそれによるPLCの設定変更や情報漏洩
脆弱性を悪用した認証回避による任意のオブジェクトコードの実行

4. 実際の攻撃可能性についての考察
CVE-2022-31204およびCVE-2022-31205につきましては、実際の通信パケットの傍受およびMan In The Middleのような攻撃によって上記影響が出る可能性(リスク)があります。ただし、後述の緩和策によってそのリスクは十分軽減されます。
CVE-2022-31206およびCVE-2022-31207につきましては、実際の通信パケットの傍受およびMan In The Middleに加えて、任意のオブジェクトコードを作成しPLCに送り込むことで上記影響が出る可能性(リスク)があります。ただし、後述の緩和策によってそのリスクは十分軽減されます。

5. 対策方法
5.1 以下の緩和策を実施する
・許可されていないネットワークのアクセスを制限します。これによって通信パケットの傍受やMan In The Middleのような攻撃を防げます。
・CP1W-CIF41 EthernetオプションボードのパスワードはCP1本体のパスワードとは異なるものにします。これによりパスワード漏洩を防げます。
・CS/CJ/CPシリーズについては、PLC保護パスワード機能を使用してUMへの書き込みを禁止できます。これによって不正なコードの書き込みを防げます。
・PLCのハードウェアDIPスイッチにより、UMへの書き込み、プログラムの変更を禁止できます。これによって不正なコードの書き込みを防げます。
5.2 PLCをアップデート(リプレース)する
PLCを最新のものにアップデート(リプレース)をご希望される場合は、詳細は下記URLをご参照いただき、弊社の営業窓口まで お問い合わせください。
国内お問い合わせ先：https://www.fa.omron.co.jp/sales/local/

6. 本件に対する弊社窓口
本件に対する弊社の連絡窓口は下記をご利用ください。
オムロン脆弱性窓口(PSIRT): https://www.omron.co.jp/contact/ContactForm.do?FID=00280

更新履歴

2022/06/30