【活用ガイド】

[English]

JVNDB-2024-003242

オムロン製マシンオートメーションコントローラ NJ/NX にデータの真正性検証が不十分な脆弱性

概要

オムロン株式会社が提供するマシンオートメーションコントローラ NJ/NX シリーズには、データの真正性検証が不十分な脆弱性 (CWE-345) が存在します。

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.8 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
影響を受けるシステム


オムロン株式会社
  • マシンオートメーションコントローラ NJ シリーズ CPU ユニット 全バージョン
  • マシンオートメーションコントローラ NX シリーズ CPU ユニット 全バージョン

想定される影響

製品内のユーザプログラムが改ざんされた場合に、その改ざんを検知できない可能性があります。
対策

[ ｢ユーザプログラム復元情報無し転送機能｣ (*1) を使用する]
(*1) ｢ユーザプログラム復元情報無し転送機能｣ については、開発者が提供する次のマニュアルを参照してください。

　* NJ/NX シリーズ CPU ユニット ユーザーズマニュアルソフトウェア編（SBCA-467）

[ワークアラウンドを実施する]
開発者は、以下の軽減策または回避策を適用することを推奨しています。

　* ネットワーク接続を最小限に抑え、信頼できないデバイスからのアクセスを制限する
　* ファイアウォール等の導入による IT ネットワークからの分離（未使用通信ポートの遮断、通信ホストの制限）

詳しくは、開発者が提供する情報を確認してください。

ベンダ情報

オムロン株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

  1. データの信頼性についての不十分な検証(CWE-345) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-33687
参考情報

  1. JVN : JVNVU#92504444
  2. National Vulnerability Database (NVD) : CVE-2024-33687
更新履歴

  • [2024年05月28日]
      掲載
  • [2024年07月26日]
      参考情報：National Vulnerability Database (NVD) (CVE-2024-33687) を追加

公表日2024/05/27
登録日2024/05/28
最終更新日2024/07/26