Siemens、Schneider Electricをはじめとする複数の産業用技術ベンダーが、新たなセキュリティアドバイザリを公開しました。影響を受けるシステムが深刻な攻撃にさらされるおそれのある脆弱性について、詳細を説明しています。
Siemensは、10件の脆弱性を扱う9件の新たなアドバイザリを公開しました。このうち2件は、最近明らかになったNode2Shell脆弱性が同社製品に与える影響を説明するものです。Node2Shellを悪用する試みはすでに確認されていますが、Siemens製品を狙った攻撃の兆候は見つかっていません。
Siemensはこのほか、ROS#、Simcenter Femap、Mendix Studio Pro MCP Server、Simatic SCADAおよびPCS 7、Meta-iot2050、Simatic WinCC Graphics Designerに存在する重大度「高」の脆弱性について、顧客に注意を促すアドバイザリも公開しました。Ruggedcom APE1808デバイスで使用されているFortigate NGFWについては、重大度「低」の問題に対処しています。
これらの脆弱性を悪用されると、コードインジェクションや任意のコード実行、不正なデータへのアクセス、システムの侵害を引き起こされるおそれがあります。
Siemensによると、影響を受ける製品の一部には修正パッチがまだ提供されておらず、一部のバージョンは修正対象外となります。同社は顧客に対し、推奨される緩和策を適用するよう呼びかけています。
Schneider Electricが公開したアドバイザリは1件のみです。EcoStruxure Power Build Rapsodyに存在する重大度「中」の問題について説明しており、悪意あるファイルを処理させることで任意のコードを実行される可能性があります。
ドイツのVDE CERTは今週、8件の新たなアドバイザリを公開しました。対象は、Beckhoff、MB Connect Line、Helmholz、Weidmueller、Bender、Ads-Tecの各製品で見つかった脆弱性です。これらのセキュリティ上の欠陥には、PHP（PHP2Shell）をはじめとするサードパーティ製コンポーネントに関わるものが複数含まれています。
月例パッチの公開に先立つ数日間には、Phoenix ContactもPHP2Shell脆弱性の影響を説明するアドバイザリを公開しました。同社はまた、PLCnextなどの製品に影響する複数の脆弱性についてもアドバイザリを公開しています。
Johnson Controlsも今月初めに、2件のアドバイザリを公開しました。1件目はEasyIO Neo IO Managerの3件の脆弱性を扱っており、そのうちの1件は権限昇格や任意のコード実行を許すおそれがあります。
2件目は、C•CURE 9000 3.20 / Victor 8.0のインストーラーに存在する問題です。攻撃者が管理者の認証情報や認証シークレットを入手できる可能性があります。
Hitachi Energyは、少なくとも1つの自社製品がPHP2Shell脆弱性の影響を受けることを確認しました。
