JVNVU#98489812
複数の PTC 製品に脆弱性

複数の PTC 製品には、脆弱性が存在します。

CVE-2020-27263、CVE-2020-27265 および CVE-2020-27267

• KEPServerEX Version 6.0 から Version 6.9 まで
• ThingWorx Kepware Server Version 6.8 および Version 6.9
• ThingWorx Industrial Connectivity すべてのバージョン
• OPC-Aggregator すべてのバージョン
• Rockwell Automation KEPServer Enterprise Version 6.6.504.0 および Version 6.9.572.0
• GE Digital Industrial Gateway Server Version 7.68.804 および Version 7.66
• Software Toolbox TOP Server 6系のすべてのバージョン

• Kepware LinkMaster Version 3.0.94.0 およびそれ以前

PTC 社が提供する複数の製品には、次の脆弱性が存在します。

• スタックベースのバッファオーバーフロー (CWE-121) - CVE-2020-27265

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2020-27263

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

  基本値: 9.1

• 解放済みメモリの使用 (use-after-free) (CWE-416) - CVE-2020-27267

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 不適切な初期設定の権限 (CWE-276) - CVE-2020-13535

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  基本値: 9.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって細工された OPC UA メッセージを開くことにより、サーバーをクラッシュさせられたり、任意のコードを実行されたりする - CVE-2020-27265
• 遠隔の第三者によって細工された OPC UA メッセージを開くことにより、サーバーをクラッシュさせられたり、データを窃取されたりする - CVE-2020-27263
• 遠隔の第三者によって、OPC UA 接続の確立と切断を高速で繰り返すことにより、サーバーをクラッシュさせられる - CVE-2020-27267
• アクセス許可の初期設定が正しくないため、ローカルの第三者によって、サービスを再構成するためのアクセス権を付与される - CVE-2020-13535

アップデートする
開発者が提供する情報をもとに、以下のバージョンにアップデートしてください。

CVE-2020-27263、CVE-2020-27265 および CVE-2020-27267

• KEPServerEX
  • Version 6.6.362.0
  • Version 6.7.1067.0
  • Version 6.8.838.0
  • Version 6.9.584.0

• ThingWorx Kepware Server
  • Version 6.8.839.0
  • Version 6.9.584.0

• ThingWorx Industrial Connectivity
  • Version 8.4 (6.6.362.0)
  • Version 8.4 (6.7.1068.0)

• OPC-Aggregator
  • Version 6.9.584.0

• Rockwell Automation KEPServer Enterprise
  • Version 6.6.550.0
  • Version 6.9.584.0

• GE Digital Industrial Gateway Server
  • Version 7.68.839.0

• Software Toolbox TOP Server
  • Version 6.7.1068.0
  • Version 6.8.840.0
  • Version 6.9.584.0

• Kepware LinkMaster
  • Version 3.0.99