JVNVU#97256167: 複数のCODESYS Control製品におけるOSコマンドインジェクションの脆弱性

CODESYS GmbHが提供する複数のCODESYS Control製品には、OSコマンドインジェクションの脆弱性が存在します。

Linux OSもしくはQNX OS上で動作するCODESYS Control runtimeには、OSコマンドインジェクション (CWE-78、CVE-2023-6357) の脆弱性が存在します。

当該製品のユーザによって、SysFileやCAA Fileのシステムライブラリを利用され、任意のOSコマンドを実行される可能性があります。
本脆弱性は、Linux OSもしくはQNX OS上で動作するCODESYS Control runtimeシステムのみ影響を受けるとのことです。

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
CODESYS Runtime Toolkitは、次のバージョンで修正されているとのことです。

CODESYS Control製品のアップデートバージョン4.11.0.0は、2024年1⽉にリリース予定とのことです。

ワークアラウンドを実施する
開発者が推奨するワークアラウンドを適用してください。

詳細は、開発者が提供する情報をご確認ください。

ベンダ	リンク
CODESYS GmbH	CODESYS Control V3 on Linux and QNX operating systems (PDF)

VDE-2023-066 | CERT@VDE
CODESYS: OS Command Injection Vulnerability in multiple CODESYS Control products

この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者およびCERT@VDEとの調整を行いました。
報告者: 株式会社ゼロゼロワン早川宙也氏

JVNVU#97256167 複数のCODESYS Control製品におけるOSコマンドインジェクションの脆弱性