JVNVU#90813938
複数のAutomationDirect製品における複数の脆弱性

AutomationDirect社が提供する複数の製品には、複数の脆弱性が存在します。

CVE-2022-2005、CVE-2022-2006

• ファームウェアまたはソフトウェアバージョン6.73より前の以下の型番のC-more EA9
  • EA9-T6CL
  • EA9-T6CL-R
  • EA9-T7CL
  • EA9-T7CL-R
  • EA9-T8CL
  • EA9-T10CL
  • EA9-T10WCL
  • EA9-T12CL
  • EA9-T15CL
  • EA9-T15CL-R
  • EA9-RHMI
  • EA9-PGMSW

• シリアル通信を使用する、ファームウェアバージョン2.72より前で動作するD0-06シリーズ
  • D0-06DD1
  • D0-06DD2
  • D0-06DR
  • D0-06DA
  • D0-06AR
  • D0-06AA
  • D0-06DD1-D
  • D0-06DD2-D
  • D0-06DR-D
  • D0-06DD2-D
  • D0-06DR-D
• シリアル通信を使用する、ファームウェアバージョン5.41より前で動作するD0-05シリーズ
  • D0-05DD
  • D0-05DR
  • D0-05DA
  • D0-05AR
  • D0-05AA
  • D0-05AD
  • D0-05DD-D
  • D0-05DR-D
• シリアル通信を使用する、以下のすべてのファームウェアバージョンで動作するD2-2xxシリーズ
  • D2-230
  • D2-240
  • D2-250
  • D2-250-1 4.91より前のバージョン
  • D2-260 2.71より前のバージョン
  • D2-262 1.06より前のバージョン
• シリアル通信を使用する、すべてのファームウェアバージョンで動作するD3-3xxシリーズ
  • D3-350
• シリアル通信を使用する、以下のすべてのファームウェアバージョンで動作するD4-4xxシリーズ
  • D4-430
  • D4-440
  • D4-450
  • D4-454 1.04より前のバージョン
• シリアル通信を使用する、すべてのファームウェアバージョンで動作するDL105 CPUs (F1-130xx)シリーズ
  • F1-130AA
  • F1-130AD
  • F1-130DA
  • F1-130DD
  • F1-130DD-D
  • F1-130DR-D
  • F1-130AR
  • F1-130DR

• イーサネット通信モジュール（H0-ECOMおよびH0-ECOM100）を使用する、ファームウェアバージョン2.72より前で動作するD0-06シリーズ
  • D0-06DD1
  • D0-06DD2
  • D0-06DR
  • D0-06DA
  • D0-06AR
  • D0-06AA
  • D0-06DD1-D
  • D0-06DD2-D
  • D0-06DR-D
• イーサネット通信モジュール（H0-ECOMおよびH0-ECOM100）を使用する、ファームウェアバージョン5.41より前で動作するD0-05シリーズ
  • D0-05DD
  • D0-05DR
  • D0-05DA
  • D0-05AR
  • D0-05AA
  • D0-05AD
  • D0-05DD-D
  • D0-05DR-D
• イーサネット通信モジュール（H2-ECOMおよびH2-ECOM100）を使用する、以下のすべてのファームウェアバージョンで動作するD2-2xxシリーズ
  • D2-240
  • D2-250
  • D2-250-1 4.91より前のバージョン
  • D2-260 2.71より前のバージョン
  • D2-262 1.06より前のバージョン
• イーサネット通信モジュール（H4-ECOMおよびH4-ECOM100）を使用する、以下のすべてのファームウェアバージョンで動作するD4-4xxシリーズ
  • D4-430
  • D4-440
  • D4-450
  • D4-454 1.04より前のバージョン

AutomationDirect社が提供する複数の製品には、複数の脆弱性が存在します。

• ファイル検索パスの制御不備 (CWE-427) - CVE-2022-2006
• 重要な情報の平文送信 (CWE-319) - CVE-2022-2005、CVE-2022-2003
• 無制限なリソース消費 (CWE-400) - CVE-2022-2004

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• ローカルの第三者によって、インストールプロセス中に細工したDLLファイルを読み込ませ、コードを実行される - CVE-2022-2006
• 遠隔の第三者によって、平文送信された資格情報を窃取される - CVE-2022-2005
• 遠隔またはローカルの第三者によって、平文送信されたパスワードを窃取される - CVE-2022-2003
• 遠隔の第三者によって細工されたパケットによって、サービス拒否（DoS）状態にされる - CVE-2022-2004

CVE-2022-2003、CVE-2022-2005、CVE-2022-2006
アップデートする
開発者は、アップデートを提供しています。

CVE-2022-2004
ワークアラウンドを実施する
開発者は、ワークアラウンドの適用を推奨しています。

CVE-2022-2003
後継製品に移行する
開発者によると、D2-230/240/250、D3-350、D4-430/440/450およびすべてのDL105 CPUs (F1-130xx)は廃止されるため、後継製品への移行を推奨しています。

詳細は、開発者が提供する情報をご確認ください。