ロックウェル・オートメーション の技術で二つの脆弱性が発見

セキュリティメディア「ハッカーニュース」によると、MSが ロックウェル・オートメーション （Rockwell Automation）パネル・ビュー・プラスから2つの脆弱性を発見したそうです。任意コード実行攻撃とDDoS攻撃を実施できるようになる脆弱性であり、各々CVE-2023-2071、CVE-2023-29464です。任意コード実行脆弱性の場合、CVSS9.8点、DDoS攻撃脆弱性は8.2点に分類されました。この問題が発見されてからロックウェルの方に報告されたのは去年の9月、10月であり、ロックウェル側も速やかにセキュリティ勧告を発表して取り組みました。今週は脆弱性の詳細な内容が公開されたのです。

アメリカのセキュリティ専担機関であるCISAでも、この2つの脆弱性と関する別途のセキュリティ警告を発表しました。CISAが脆弱性に対する警告を直接発表するということは、その危険性や波及力が大きいということ、あるいは実際のハッカーたちの攻撃が検知されているということです。従って、至急にパッチを適用した方がいいです。

MSは、「2つの脆弱性を連鎖的にエクスプロイトすることに成功する場合、攻撃者は任意のコードを実行するか、情報を乗っ取ったり、システムの麻痺を招くようになります」と加えました。