重要脆弱性情報 脆弱性ID VDE-2025-075 公開日 2025-09-10 10:00 (CEST) 最終更新 2025-09-10 10:36 (CEST) 廠商 Beckhoff Automation GmbH & Co. KG 影響を受ける製品およびバージョン TE1000 脆弱性概要 BeckhoffのTwinCAT 3 Engineeringソフトウェアは、自動化プロジェクトの作成に使用されます。これらのプロジェクトは、ローカルフォルダまたはパッケージ化されたファイルに保存されたファイルのセットで構成されています。TwinCAT 3 Engineeringは、以前の仕事の継続に関連する「ソリューションユーザーオプション（suo）ファイル」と呼ばれる、パッケージ化されていないローカルファイルにユーザー設定と設定を保存します。これらの設定が操作されるか、特定の方法で作成されると、TwinCAT 3 Engineeringはこれらの設定に基づいて任意のコマンドを実行し、ユーザーがTwinCAT 3 Engineeringでプロジェクトを開いた際、そのコマンドはユーザーのコンテキスト内で実行されます。 CVE ID CVE-2025-41701 最終更新時刻 2025年9月8日 10:34 深刻度 7.0 (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) 弱点 信頼されないデータの逆シリアライズ (CWE-502) 要約 認証されていない攻撃者は、影響を受けるエンジニアリングツールを使用して故意に操作されたプロジェクトファイルを開くことで、ローカルユーザーに対して任意のコマンドの実行を誘発できます。これらの任意のコマンドは、ユーザーのコンテキスト内で実行されます。 影響 ローカルファイルへのアクセス権を持つ攻撃者は、影響を受けるエンジニアリングツールを使用して故意に操作されたプロジェクトファイルを開くことで、ローカルユーザーに対して任意のコマンドの実行を誘発できます。これらの任意のコマンドは、ユーザーのコンテキスト内で実行されます。古いバージョンのエンジニアリングツールがインストールされている場合、プロジェクトファイルの故意の操作により、そのツールを使ってファイルを開くように仕向ける可能性があります。 解決策 影響を受ける製品の最新バージョンにアップデートし、TwinCAT 3 Engineeringの古いバージョンをアンインストールしてください。古いバージョンのTwinCAT 3 Engineeringが「リモートマネージャー」バージョンとして表示されないようにしてください。プロジェクトからTwinCAT 3 Engineeringへの「固定（pinning）」参照があれば、それを削除してください。 報告者 CERT@VDE（Beckhoffと調整）