重要な脆弱性情報 脆弱性ID VDE-2025-029 公開日および最終更新日 公開日: 2025-05-13 11:00 (CEST) 最終更新日: 2025-05-13 12:01 (CEST) ベンダー PHOENIX CONTACT GmbH & Co. KG 影響を受ける製品およびバージョン 脆弱性の概要 CVE ID: CVE-2025-2813 最終更新: 2025年8月1日 11:35 深刻度: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:A/A:H) 弱点: リソース割り当ての無制限またはスルーティング (CWE-770) 脆弱性の詳細 認証されていないリモート攻撃者は、ポート80上のHTTPサービスに対して大量のリクエストを送信することで、サービス拒否（DoS）を発生させることができる。 影響 攻撃が成功すると、デバイスに過負荷がかかり、ハードウェア・ウォッチドッグタイマーがトリガーされる。プロセスデータは、設定された代替値の動作に従って処理される。 バス結合器は、産業用イーサネット（例：PROFINET IO、Modbus/TCP、EtherNet/IP）において通信を再確立するために、手動再起動（電源の再投入、リセットボタンの押下、またはSNMPリセットコマンドの実行）が必要である。 解決策 一般的なアドバイス: ネットワーク対応デバイスを保護するための対策については、アプリケーションノート記載のセキュリティ対策を参照してください。 軽減策: 影響を受けるバス結合器は、閉鎖型産業用ネットワークでの使用を想定して設計されています。Phoenix Contactは、これらのデバイスを閉鎖型ネットワークでのみ使用し、適切なファイアウォールで保護することを強く推奨します。 ネットワークセキュリティスキャナが必須の場合: ポート80上のサービステストに対するスキャンは、除外するか無効にすることを推奨します。多くのネットワークスキャナでは、特定のテストのみを個別に無効にするオプションや、デバイスタイプとテストカテゴリに基づいて除外を適用する機能を提供しています。 修正策: 「Fixed」セクションに記載されている製品に対して、修正済みのファームウェアバージョンが利用可能です。「販売終了」製品については、修正は計画されていません。リストされているその他の製品は、次のリビジョンでバグフィックスを受取ります。 報告者 CERT@VDE と Phoenix Contact GmbH & Co. KG