| Summary | M&M Software fdtCONTAINER Component in versions below 3.5.20304.x and between 3.6 and 3.6.20304.x is vulnerable to deserialization of untrusted data in its project storage. |
|---|---|
| Publication Date | Jan. 23, 2021, 4:15 a.m. |
| Registration Date | Jan. 26, 2021, 10:40 a.m. |
| Last Update | Nov. 21, 2024, 1:59 p.m. |
| CVSS3.1 : HIGH | |
| スコア | 7.8 |
|---|---|
| Vector | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 攻撃元区分(AV) | ローカル |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | 高 |
| CVSS2.0 : MEDIUM | |
| Score | 6.8 |
|---|---|
| Vector | AV:N/AC:M/Au:N/C:P/I:P/A:P |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 中 |
| 攻撃前の認証要否(Au) | 不要 |
| 機密性への影響(C) | 低 |
| 完全性への影響(I) | 低 |
| 可用性への影響(A) | 低 |
| Get all privileges. | いいえ |
| Get user privileges | いいえ |
| Get other privileges | いいえ |
| User operation required | はい |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:wago:fdtcontainer_component:*:*:*:*:*:*:*:* | 3.5.0 | 3.5.20304 | |||
| cpe:2.3:a:wago:fdtcontainer_component:*:*:*:*:*:*:*:* | 3.5 | ||||
| cpe:2.3:a:pepperl-fuchs:pactware:*:*:*:*:*:*:*:* | 5.0 | 5.0.5.31 | |||
| cpe:2.3:a:emerson:rosemount_transmitter_interface_software:-:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:wago:dtminspector_3:-:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:wago:fdtcontainer_application:*:*:*:*:*:*:*:* | 4.5 | ||||
| cpe:2.3:a:wago:fdtcontainer_application:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.20304 | |||
| cpe:2.3:a:wago:fdtcontainer_application:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.20304 | |||
| cpe:2.3:a:wago:fdtcontainer_component:*:*:*:*:*:*:*:* | 3.6.0 | 3.6.20304 | |||
| cpe:2.3:a:weidmueller:wi_manager:*:*:*:*:*:*:*:* | 2.5.1 | ||||
| Configuration2 | or higher | or less | more than | less than | |
| cpe:2.3:o:pepperl-fuchs:io-link_master_firmware:*:*:*:*:*:*:*:* | 1.5.48 | ||||
| execution environment | |||||
| 1 | cpe:2.3:h:pepperl-fuchs:io-link_master_4-eip:-:*:*:*:*:*:*:* | ||||
| 2 | cpe:2.3:h:pepperl-fuchs:io-link_master_4-pnio:-:*:*:*:*:*:*:* | ||||
| 3 | cpe:2.3:h:pepperl-fuchs:io-link_master_8-eip:-:*:*:*:*:*:*:* | ||||
| 4 | cpe:2.3:h:pepperl-fuchs:io-link_master_8-eip-l:-:*:*:*:*:*:*:* | ||||
| 5 | cpe:2.3:h:pepperl-fuchs:io-link_master_8-pnio:-:*:*:*:*:*:*:* | ||||
| 6 | cpe:2.3:h:pepperl-fuchs:io-link_master_8-pnio-l:-:*:*:*:*:*:*:* | ||||
| 7 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-eip:-:*:*:*:*:*:*:* | ||||
| 8 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-eip-p:-:*:*:*:*:*:*:* | ||||
| 9 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-eip-t:-:*:*:*:*:*:*:* | ||||
| 10 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-pnio:-:*:*:*:*:*:*:* | ||||
| 11 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-pnio-p:-:*:*:*:*:*:*:* | ||||
| 12 | cpe:2.3:h:pepperl-fuchs:io-link_master_dr-8-pnio-t:-:*:*:*:*:*:*:* | ||||
| Title | M&M Software 製 fdtCONTAINER に信頼できないデータのデシリアライズの脆弱性 |
|---|---|
| Summary | M&M Software 社 (WAGO Kontakttechnik 社子会社) が提供し、RTIS および PACTware を含む他の製品にも使われている fdtCONTAINER コンポーネントには、信頼できないデータのデシリアライズ (CWE-502) の脆弱性が存在します。 |
| Possible impacts | 第三者によって、細工されたプロジェクトファイルをユーザが読み込むことで、不正なコードを秘密裏に実行される可能性があります。 |
| Solution | [アップデートする] 開発者が提供する情報をもとに、利用方法に応じて下記のオプションから修正済みバージョンにアップデートしてください。 詳細は開発者へお問い合わせください。 オプション1：確認されている攻撃手法に対処し、既存のプロジェクトファイルと互換性があるが、非推奨のデシリアライゼーション技術を利用している fdtCONTAINER component、fdtCONTAINER application * fdtCONTAINER component バージョン 3.5.20304.x から 3.7 より前のバージョン * fdtCONTAINER application バージョン 4.6.20304.x から 4.7 より前のバージョン オプション2：既存のプロジェクトファイルと互換性がないが、推奨される安全なデシリアライゼーション技術を利用している fdtCONTAINER component、fdtCONTAINER application * fdtCONTAINER component バージョン 3.7 およびそれ以降のバージョン * fdtCONTAINER application バージョン 4.7 およびそれ以降のバージョン dtmINSPECTOR * 修正済みバージョンを2021年第一四半期に提供予定とのことです。 RTIS * 開発者が提供する<a href="https://www.emerson.com/documents/automation/emr-rmt20004-rev3-en-7259618.pdf"target="blank">情報 (PDF) </a>を参照してください。 PEPPERL+FUCHS PACTware * <a href="https://cert.vde.com/de-de/advisories/vde-2021-001"target="blank">参考情報</a>を参照してください。 Weidmüller WI Manager * <a href="https://cert.vde.com/de-de/advisories/vde-2021-002"target="blank">参考情報</a>を参照してください。 [ワークアラウンドを実施する] 開発者が提供する情報をもとに、回避策を適用することで本脆弱性の影響を軽減できます。 三菱電機株式会社 MELSOFT FieldDeviceConfigurator * 開発者が提供する<a href="https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2020-020.pdf"target="blank">情報 (PDF) </a>を参照してください。 |
| Publication Date | Jan. 22, 2021, midnight |
| Registration Date | Jan. 25, 2021, 3:56 p.m. |
| Last Update | June 21, 2021, 5:28 p.m. |
| M&M Software GmbH |
| FDT 1.2.x をベースにした dtmINSPECTOR バージョン 3 |
| fdtCONTAINER application バージョン 4.5 より前のバージョン |
| fdtCONTAINER application バージョン 4.5.0 から 4.5.20304.x より前のバージョン |
| fdtCONTAINER application バージョン 4.6.0 から 4.6.20304.x より前のバージョン |
| fdtCONTAINER component バージョン 3.5 より前のバージョン |
| fdtCONTAINER component バージョン 3.5.0 から 3.5.20304.x より前のバージョン |
| fdtCONTAINER component バージョン 3.6.0 から 3.6.20304.x より前のバージョン |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2021年01月25日] 掲載 | Jan. 25, 2021, 11:48 a.m. |
| 2 | [2021年02月17日] タイトル：内容を更新 概要：内容を更新 CVSS による深刻度：内容を更新 影響を受けるシステム：内容を更新 対策：内容を更新 ベンダ情報：Emerson Cyber Security Notification (Emerson Cybersecurity Notification Alert EMR.RMT20004-3 (PDF)) を追加 ベンダ情報：三菱電機株式会社 (MELSOFT FieldDeviceConfigurator 製品における任意のコードが実行される脆弱性) を追加 参考情報：関連文書 (VDE-2021-002 (WEIDMUELLER: WI Manager affected by fdtContainer vulnerability)) を追加 |
Feb. 17, 2021, 11:49 a.m. |
| 3 | [2021年06月21日] 影響を受けるシステム：内容を更新 |
June 21, 2021, 11:22 a.m. |