JVNVU#96210668
複数の Rockwell Automation 製品に脆弱性

Rockwell Automation が提供する FactoryTalk Services Platform および FactoryTalk View SE には複数の脆弱性が存在します。

• FactoryTalk Services Platform Version 6.11.00 およびそれ以前
• FactoryTalk View SE Version 9.0 およびそれ以前
• FactoryTalk View SE Version 10.0

Rockwell Automation 社が提供する FactoryTalk Services Platform には次の脆弱性が存在します。

• XML 外部実体参照の不適切な制限 (CWE-611) - CVE-2020-14478

  CVSS v3

  CVSS:3.1//AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H

  基本値: 8.4

• 重要な情報の平文保存 (CWE-312) - CVE-2020-14480

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

  基本値: 8.4

• パスワードの暗号化の強度不足 (CWE-261) - CVE-2020-14481

  CVSS v3

  CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

  基本値: 8.8

想定される影響は各脆弱性により異なりますが、次のような影響を受けるおそれがあります。

• 認証されていない攻撃者によって、細工されたXMLデータを介して外部実体参照 (XXE) 攻撃を実行され結果としてサービス運用妨害 (DoS) 状態にされたり、システム内のローカルファイルにアクセスされたりする - CVE-2020-14478
• 認証された攻撃者によって、メモリ上に平文で保持された Windows ユーザの認証情報を含む複数の認証情報にアクセスされる - CVE-2020-1448
• 認証された攻撃者によって、暗号化された Windows ユーザおよび Windows DeskLock のパスワードを含む複数の認証情報を復号される - CVE-2020-14481

ナレッジベースを確認する
開発者が提供するナレッジベース 25612 および 1092746 (要ログイン) を参照して必要な対策を実施する - CVE-2020-14478

バージョンアップをする
FactoryTalk View SE のソフトウェアバージョンを 10.0以降にする　- CVE-2020-14480、CVE-2020-14481