JVNDB-2023-010080
|
複数の CODESYS Control 製品における OS コマンドインジェクションの脆弱性
|
|
Linux OS もしくは QNX OS 上で動作する CODESYS Control runtime には、OS コマンドインジェクション (CWE-78、CVE-2023-6357) の脆弱性が存在します。
この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者および CERT@VDE との調整を行いました。
報告者: 株式会社ゼロゼロワン 早川 宙也 氏
|
|
CVSS v3 による深刻度
基本値: 8.8 (重要) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
|
|
|
CODESYS GmbH
- CODESYS Control for BeagleBone SL 4.11.0.0 より前のバージョン
- CODESYS Control for emPC-A/iMX6 SL 4.11.0.0 より前のバージョン
- CODESYS Control for IOT2000 SL 4.11.0.0 より前のバージョン
- CODESYS Control for Linux ARM SL 4.11.0.0 より前のバージョン
- CODESYS Control for Linux SL 4.11.0.0 より前のバージョン
- CODESYS Control for PFC100 SL 4.11.0.0 より前のバージョン
- CODESYS Control for PFC200 SL 4.11.0.0 より前のバージョン
- CODESYS Control for PLCnext SL 4.11.0.0 より前のバージョン
- CODESYS Control for Raspberry Pi SL 4.11.0.0 より前のバージョン
- CODESYS Control for WAGO Touch Panels 600 SL 4.11.0.0 より前のバージョン
- CODESYS Runtime Toolkit for Linux or QNX 3.5.19.50 より前のバージョン
|
|
|
当該製品のユーザによって、 SysFile や CAA File のシステムライブラリを利用され、任意の OS コマンドを実行される可能性があります。
本脆弱性は、Linux OS もしくは QNX OS 上で動作する CODESYS Control runtime システムのみ影響を受けるとのことです。
|
|
[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
CODESYS Runtime Toolkit は、次のバージョンで修正されているとのことです。
* CODESYS Runtime Toolkit 3.5.19.50
CODESYS Control製品のアップデートバージョン4.11.0.0は、2024年1月にリリース予定とのことです。
[ワークアラウンドを実施する]
開発者が推奨するワークアラウンドを適用してください。
詳細は、開発者が提供する情報をご確認ください。
|
|
CODESYS GmbH
パナソニック株式会社
|
|
- OSコマンドインジェクション(CWE-78) [その他]
|
|
- CVE-2023-6357
|
|
- JVN : JVNVU#97256167
- National Vulnerability Database (NVD) : CVE-2023-6357
- 関連文書 : CODESYS: OS Command Injection Vulnerability in multiple CODESYS Control products
|
|
- [2023年12月07日]
掲載
- [2024年04月22日]
CVSS による深刻度：内容を更新
参考情報：National Vulnerability Database (NVD) (CVE-2023-6357) を追加
- [2024年11月29日]
ベンダ情報：パナソニック株式会社 (Panasonic の告知ページ) を追加
|
