主要情報 脆弱性概要 脆弱性番号: VDE-2024-049 公開日: 2024-08-27 10:00 (CEST) 更新日: 2024-08-27 08:57 (CEST) ベンダー: Beckhoff Automation GmbH & Co. KG 影響を受ける製品: - IPC Diagnostics package - TwinCAT/BSD 脆弱性情報 説明: デフォルトでは、Beckhoff が開発し「Beckhoff Device Manager UI」と呼ばれる、TwinCAT/BSD 搭載機器のデバイス固有の Web インターフェース（WBM）が有効になっています。このインターフェースは、リモートまたはローカルからアクセス可能です。ローカルアクセスの場合、攻撃者は特定の入力を送信することで、「MDPWebServer」プロセスが最大限の CPU パワーとランダムアクセスメモリ（RAM）を消費させることができます。 CVE ID: CVE-2024-41175 深刻度: 5.5 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H) 弱点: 制限またはレート制限のないリソース割り当て (CWE-770) 影響: ローカル環境、低権限の攻撃者がサービス拒否（DoS）を引き起こす可能性があります。 解決策 緩和策: 管理者アクセス以外のユーザーアカウントがターゲットシステムに存在しないようにする。 修正推奨事項: 影響を受けた製品の最新バージョンに更新します。Beckhoff は、個別のパッケージではなく、TwinCAT/BSD オペレーティングシステム全体を最新バージョンに更新することを推奨しています。既存の TwinCAT/BSD インストールの更新に関する詳細は、こちらを参照してください。また、コマンドライン経由でオペレーティングシステムのバージョンを確認することもできます。この情報は、Beckhoff Device Manager UI 内でも確認可能です。 報告: Nozomi Networks の Andrea Palanca により報告。CERT@VDE が Beckhoff と調整して対応しました。 その他の情報 報告日: 2024-08-27 10:00 (CEST) 更新日: 2024-08-27 08:57 (CEST) ベンダー: Beckhoff Automation GmbH & Co. KG 影響を受ける製品: - IPC Diagnostics package - TwinCAT/BSD まとめ 本脆弱性は、Beckhoff TwinCAT/BSD オペレーティングシステムにおける IPC Diagnostics package および TwinCAT/BSD のサービス拒否（DoS）脆弱性です。この脆弱性を利用すると、ローカルかつ低権限の攻撃者が特定の入力によってシステムリソースを消費させ、サービス拒否を引き起こすことができます。Beckhoff は、この脆弱性を修正するために最新バージョンへの更新を推奨しています。