【活用ガイド】

JVNDB-2021-002343

ジェイテクト製 TOYOPUC シリーズにおける制限またはスロットリング無しのリソースの割り当ての脆弱性

概要

株式会社ジェイテクトが提供する TOYOPUC PLC は、プログラマブルロジックコントローラ（PLC）です。
TOYOPUC PLC には制限またはスロットリング無しのリソースの割り当ての脆弱性（CWE-770、CVE-2021-33011）が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.3 (警告) [その他]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 3.3 (注意) [NVD値]
  • 攻撃元区分: 隣接
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 部分的
影響を受けるシステム


株式会社ジェイテクト
  • 2PORT-EFR THU-6404 ファームウェア すべてのバージョン
  • EF10 TCU-6982 ファームウェア すべてのバージョン
  • FL/ET-T-V2H THU-6289 ファームウェア すべてのバージョン
  • Nano 10GX TUC-1157 ファームウェア すべてのバージョン
  • Nano 2ET TUU-6949 ファームウェア すべてのバージョン
  • Nano CPU TUC-6941 ファームウェア すべてのバージョン
  • Nano Safety RS00IP TUU-1086 ファームウェア すべてのバージョン
  • Nano Safety RS01IP TUU-1087 ファームウェア すべてのバージョン
  • Nano Safety TUC-1085 ファームウェア すべてのバージョン
  • PC10B TCC-1021 ファームウェア すべてのバージョン
  • PC10B-E/C TCU-6521 ファームウェア すべてのバージョン
  • PC10B-P TCC-6373 ファームウェア すべてのバージョン
  • PC10E TCC-4637 ファームウェア すべてのバージョン
  • PC10G-CPU TCC-6353 ファームウェア すべてのバージョン
  • PC10GE TCC-6464 ファームウェア すべてのバージョン
  • PC10P TCC-6372 ファームウェア すべてのバージョン
  • PC10P-DP TCC-6726 ファームウェア すべてのバージョン
  • PC10P-DP-IO TCC-6752 ファームウェア すべてのバージョン
  • PC10PE TCC-1101 ファームウェア すべてのバージョン
  • PC10PE-1616P TCC-1102 ファームウェア すべてのバージョン
  • Plus 2P-EFR TCU-6929 ファームウェア すべてのバージョン
  • Plus BUS-EX TCU-6900 ファームウェア すべてのバージョン
  • Plus CPU TCC-6740 ファームウェア すべてのバージョン
  • Plus EFR TCU-6743 ファームウェア すべてのバージョン
  • Plus EFR2 TCU-6859 ファームウェア すべてのバージョン
  • Plus EX TCU-6741 ファームウェア すべてのバージョン
  • Plus EX2 TCU-6858 ファームウェア すべてのバージョン

詳しくは、開発者が提供する情報をご確認ください。
想定される影響

ICMP flood 攻撃を受けた場合、遠隔の第三者によって当該製品間の Ethernet 通信を遮断される可能性があります。この通信の遮断は、ICMP flood 攻撃を受けている間継続します。本脆弱性は、PLC のシーケンス制御に影響はありません。
対策

[ワークアラウンドを実施する]
開発者によると、次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。

　* 当該システムのネットワークをファイアウォール等で業務ネットワークから分離して運用する
　* 外部からのアクセスが必要な場合、VPN 等の安全な方法でアクセスする。VPN ソフトウエアは最新の状態に保つ。
　* 制御システム機器のネットワークへの接続を最小限にし、インターネットに直接接続しない
　* LAN ポートロックを使い許可されていないデバイスからの接続を阻止する
ベンダ情報

株式会社ジェイテクト
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-33011
参考情報

  1. JVN : JVNVU#95792804
  2. National Vulnerability Database (NVD) : CVE-2021-33011
  3. ICS-CERT ADVISORY : ICSA-21-245-02
更新履歴

  • [2021年09月03日]
      掲載

公表日2021/09/02
登録日2021/09/03
最終更新日2021/09/03