JVNVU#99204686
CENTUM VPシリーズおよびB/M9000における複数の脆弱性

横河電機株式会社が提供するCENTUM VPシリーズおよびB/M9000 VPには、複数の脆弱性が存在します。

CVE-2022-27188

• 次のCENTUM VPシリーズで、VP6E5150（グラフィック作成パッケージ）をインストールしている場合
  • CENTUM VP R4.01.00からR4.03.00まで
  • CENTUM VP Small R4.01.00からR4.03.00まで
  • CENTUM VP Basic R4.01.00からR4.03.00まで
• B/M9000 VP R6.01.01からR6.03.02まで

CVE-2022-26034

• 次のCENTUM VPシリーズで、VP6E5000（ADスイートエンジニアリングサーバ機能）をインストールしている場合
  • CENTUM VP R6.01.10からR6.09.00まで
  • CENTUM VP Small R6.01.10からR6.09.00まで
  • CENTUM VP Basic R6.01.10からR6.09.00まで
• 次のバージョンのProSafe-RSで、RS4E5000（ADスイートエンジニアリングサーバ機能）をインストールしている場合
  • R4.01.00からR4.07.00まで
• B/M9000 VP R8.01.01からR8.03.01まで

CVE-2019-0203、CVE-2018-11782、CVE-2015-0248

• 次のCENTUM VPシリーズで、VP6E5000またはVP6E5100（ADスイートエンジニアリングサーバ機能、エンジニアリング基本機能）のいずれかをインストールしている場合
  • CENTUM VP R6.01.10からR6.07.10まで
  • CENTUM VP Small R6.01.10からR6.07.10まで
  • CENTUM VP Basic R6.01.10からR6.07.10まで
• 次のバージョンのProSafe-RSで、RS4E5000またはRS4E5100（ADスイートエンジニアリングサーバ機能、安全システムエンジニアリング・保守機能）のいずれかをインストールしている場合
  • R4.01.00からR4.05.00まで
• B/M9000 VP R8.01.01からR8.03.01まで

詳しくは、開発者が提供する情報をご確認ください。

横河電機株式会社が提供するCENTUM VPシリーズおよびB/M9000 VPには、次の複数の脆弱性が存在します。

• コマンドインジェクション（CWE-78）- CVE-2022-27188
• 不適切な認証（CWE-287）- CVE-2022-26034
• NULLポインタ参照（CWE-476）- CVE-2019-0203
• 不適切な入力確認（CWE-20）- CVE-2018-11782
• リソース管理の問題（CWE-399）- CVE-2015-0248

想定される影響は各脆弱性によって異なりますが、次のような影響を受ける可能性があります。

• 当該製品がインストールされたコンピューターにアクセス可能な第三者が、グラフィックビルダによって生成されるファイルを改ざんすることで、操作監視基本機能がインストールされたコンピューター（HIS）上で任意のプログラムが実行される - CVE-2022-27188
• ADサーバーが管理するデータが漏えいしたり改ざんされたりする - CVE-2022-26034
• 当該製品が不正なパケットを受信することでADスイートのバージョン管理機能がサービス運用妨害（DoS）状態となり、ADスイートが提供する機能が停止する - CVE-2019-0203、CVE-2018-11782、CVE-2015-0248

詳しくは、開発者が提供する情報をご確認ください。

マイグレーションを行う（CVE-2022-27188への対策方法）
次のCENTUM VPシリーズは保守期間終了製品のため、対策パッチは提供されず、最新のCENTUM VPへのマイグレーションを行う必要があります。

• CENTUM VP R4.01.00からR4.03.00まで
• CENTUM VP Small R4.01.00からR4.03.00まで
• CENTUM VP Basic R4.01.00からR4.03.00まで

アップデートした上で最新のパッチを適用する（CVE-2022-26034への対策方法）
次のCENTUM VPシリーズの場合は、R6.09.00へアップデートした上で、パッチ（R6.09.04）を適用してください。

• CENTUM VP R6.01.10からR6.09.00まで
• CENTUM VP Small R6.01.10からR6.09.0まで
• CENTUM VP Basic R6.01.10からR6.09.00まで

次のバージョンのProSafe-RSの場合は、R4.07.00へアップデートした上で、パッチ（R4.07.02）を適用してください。

• ProSafe-RS R4.01.00からR4.07.00まで

なお、CENTUM VPとProSafe-RSの両方を導入している環境の場合、およびProSafe-RSのAD（オートメーションデザイン）サーバーとPRMが連携している環境の場合、パッチの適用に際して注意事項があるため、パッチ適用前に、手順書で詳細を必ず確認するように、開発者は注意を呼び掛けています。

アップデートする（CVE-2019-0203、CVE-2018-11782、CVE-2015-0248への対策方法）
次のCENTUM VPシリーズの場合は、R6.08.00以上のバージョンにアップデートしてください。

• CENTUM VP R6.01.10からR6.07.10まで
• CENTUM VP Small R6.01.10からR6.07.10まで
• CENTUM VP Basic R6.01.10からR6.07.10まで

次のバージョンのProSafe-RSの場合は、R4.06.00以上のバージョンにアップデートしてください。

• ProSafe-RS R4.01.00からR4.05.00まで

開発者によると、B/M9000 VP自体は本脆弱性の影響を受けないが、一緒にインストールされるCENTUM VPシリーズに本脆弱性が存在しており、CENTUM VPシリーズをアップデートする場合は、B/M9000 VPも適切なバージョンにアップデートする必要があるとのことです。

詳しくは、開発者が提供する情報をご覧ください。