Kostac PLC Programming Software (KPP) 脆弱性情報
1.脆弱性の概要
Kostac PLC Programming Softwareに複数の脆弱性が発見されましたので、その内容と対処方法をお知らせします。
内容をご確認の上、以下の対処を実施いただきますよう、お願い申し上げます。
2.対象製品
製品名：Kostac PLC Programming Software (旧名称： Koyo PLC Programming Software)
バージョン：Version 1.6.14.0 以前
3.説明
対象のKostac PLC Programming Softwareには以下の脆弱性が存在します。
脆弱性 1) 境界外書き込み
Kostac PLC Programming Software Version 1.6.9.0以前で保存されたプロジェクトファイルにおいて、あらかじめ改ざんされた同ファイルをKostac
PLC Programming Softwareで開いたとき、不正な文字列データを処理することによって、メモリの境界を越えた書き込みをしてしまいます。
| CWE ID： | CWE-787 |
| CVE ID： | CVE-2024-47134 |
| CVSS v3： | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H ベーススコア:7.8 |
脆弱性 2) スタックメモリでのバッファオーバーフロー
Kostac PLC Programming Software Version 1.6.9.0以前で保存されたプロジェクトファイルにおいて、あらかじめ改ざんされた同ファイルをKostac
PLC Programming Softwareで開いたとき、不正なPLCデータを処理することによって、スタックメモリでバッファオーバーフローが発生します。
| CWE ID： | CWE-121 |
| CVE ID： | CVE-2024-47135 |
| CVSS v3： | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H ベーススコア:7.8 |
脆弱性 3) 境界外読み取り
Kostac PLC Programming Software Version 1.6.9.0以前で保存されたプロジェクトファイルにおいて、あらかじめ改ざんされた同ファイルをKostac
PLC Programming Softwareで開いたとき、一部の不正なPLC命令を処理することによって、メモリの境界を越えた読み込みをしてしまいます。
| CWE ID： | CWE-125 |
| CVE ID： | CVE-2024-47136 |
| CVSS v3： | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H ベーススコア:7.8 |
4.想定される影響
脆弱性発生の条件を満たすように該当部分を細工したKostac PLC Programming Softwareのプロジェクト
ファイルをユーザに開かせることで、情報が漏洩したり任意のコードを実行されたりする可能性があります。
5.解決方法
Kostac PLC Programming Softwareのアップデート
Kostac PLC Programming Softwareを対策済みの以下バージョンに更新いただきますよう、お願いいたします。
バージョン：Version 1.6.15.0以降
Version 1.6.9.0以前で保存したプロジェクトファイルは、Version 1.6.10.0以降で保存し直すことで改ざん
防止の機能が有効になります。
もし該当するファイルをお持ちの場合は、セキュリティ強化のため、保存し直すことを推奨いたします。
なお、Version 1.6.10.0以降で保存したプロジェクトファイルは、Version 1.6.9.0以前では開くことが
できませんのでご注意ください。
このバージョンは、以下サイトからダウンロードいただけます。
日本語：https://www.electronics.jtekt.co.jp/jp/download/plc/
英語：https://www.electronics.jtekt.co.jp/en/download/plc/
6.謝辞
この脆弱性情報は、下記の方からJPCERT/CC に報告いただきました。
Michael Heinzl 氏