JVNVU#96335720: オムロン製マシンオートメーションコントローラNJ/NXシリーズにおけるパストラバーサルの脆弱性

オムロン製マシンオートメーションコントローラNJ/NXシリーズには、パストラバーサルの脆弱性が存在します。

マシンオートメーションコントローラ NJシリーズ
- NJ101-□□□□、NJ301-□□□□、NJ501-1□0□
  - Ver.1.64.05およびそれ以前
    - ロット番号30924(2024年9月30日)およびそれ以前（*1）
- NJ501-1□2□、NJ501-1340、NJ501-4□□□、NJ501-5300、NJ501-R□□□
  - Ver.1.64.04およびそれ以前
    - ロット番号30924(2024年9月30日)およびそれ以前（*1）

マシンオートメーションコントローラNJシリーズの対象バージョンの確認方法は、開発者が提供する情報のうち「別紙製品バージョンの確認方法」を参照してください。
（*1）ロット番号の確認方法は、開発者が提供する次のマニュアルの「識別情報表示」を参照してください
NJシリーズ CPUユニットユーザーズマニュアルハードウェア編（SBCA-466）

マシンオートメーションコントローラ NXシリーズ
- NX102-□□□□
  - Ver.1.64.07およびそれ以前
    - ロット番号12225(2025年2月12日)およびそれ以前（*2）
- NX102-□□2□
  - Ver.1.64.07およびそれ以前
    - ロット番号24425(2025年4月24日)およびそれ以前（*2）
- NX1P2-□□□□□□、NX1P2-□□□□□□1
  - Ver.1.64.04およびそれ以前
    - ロット番号19Y24(2024年11月19日)およびそれ以前（*2）
- NX502-□□□□
  - Ver.1.66.03およびそれ以前
    - ロット番号24425(2025年4月24日)およびそれ以前（*2）
- NX701-□□□□
  - Ver.1.35.04およびそれ以前
    - ロット番号24425(2025年4月24日)およびそれ以前（*2）
- NX-EIP201
  - Ver.1.01.02およびそれ以前
    - ロット番号24425(2025年4月24日)およびそれ以前（*2）

マシンオートメーションコントローラ NXシリーズの対象バージョンの確認方法は、開発者が提供する情報のうち「別紙製品バージョンの確認方法」を参照してください。
（*2）ロット番号の確認方法は、開発者が提供する次のマニュアルの「識別情報表示」を参照してください
NXシリーズ NX102 CPUユニットユーザーズマニュアルハードウェア編（SBCA-462）
NXシリーズ NX1P2 CPUユニットユーザーズマニュアルハードウェア編（SBCA-448）
NXシリーズ NX5 CPUユニットユーザーズマニュアルハードウェア編（SBCA-497）
NXシリーズ NX7 CPUユニットユーザーズマニュアルハードウェア編（SBCA-418）
NXシリーズ NX-EIP201 EtherNet/IPユニットユーザーズマニュアル（SBCD-382）

詳しくは、開発者が提供する情報を確認してください。

オムロン株式会社が提供するマシンオートメーションコントローラNJ/NXシリーズには、パストラバーサルの脆弱性（CWE-22、CVE-2024-12083）が存在します。

管理者権限を持つ遠隔の第三者によって、細工されたリクエストを通じて当該製品内部のファイルにアクセスされたり、任意のコードが実行されたりする可能性があります。

アップデートする
開発者が提供する情報をもとに対策済みバージョンへアップデートしてください。
対策バージョンの入手および更新方法等については、開発者が提供する情報を確認してください。

ワークアラウンドを実施する
次の製品においては、「セキュア通信機能」の使用が推奨されています。

NJシリーズ、NX102、NX1P2 CPUユニット：Ver.1.49およびそれ以降
NX701 CPUユニット：Ver.1.29およびそれ以降
NX502 CPUユニット：Ver.1.60およびそれ以降
NX-EIP201 EtherNet/IPユニット：Ver.1.00およびそれ以降

詳しくは、開発者が提供する情報を確認してください。

ベンダ	リンク
オムロン株式会社	マシンオートメーションコントローラNJ/NXシリーズにおけるパス・トラバーサル脆弱性

CVSS v3 CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

基本値: 6.6

攻撃元区分(AV)	物理 (P)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	低 (L)
必要な特権レベル(PR)	高 (H)	低 (L)	不要 (N)
ユーザ関与レベル(UI)	要 (R)	不要 (N)
スコープ(S)	変更なし (U)	変更あり (C)
機密性への影響(C)	なし (N)	低 (L)	高 (H)
完全性への影響(I)	なし (N)	低 (L)	高 (H)
可用性への影響(A)	なし (N)	低 (L)	高 (H)

この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

2025/05/07: ［影響を受けるシステム］、［対策方法］を更新しました

JVNVU#96335720 オムロン製マシンオートメーションコントローラNJ/NXシリーズにおけるパストラバーサルの脆弱性

JVNVU#96335720
オムロン製マシンオートメーションコントローラNJ/NXシリーズにおけるパストラバーサルの脆弱性