答え公開済み2 か月前Last edited 2 か月前17 ソース

Siemens RUGGEDCOM ROX IIに重大な連鎖的ゼロデイ脆弱性：CVE-2025-40948、CVE-2025-40947、CVE-2025-40949

Palo Alto Networks Unit 42がSiemens RUGGEDCOM ROX II向けOTスイッチに3連鎖ゼロデイを発見（CVE 2025 40948、CVE 2025 40947、CVE 2025 40949）[6]。 CVE 2025 40948（CVSS 6.8）はxzユーティリティの設定不備でファイル開示、CVE 2025 40947（CVSS 7.5）はコマンドインジェクションで権限昇格、CVE 2025 40949（CVSS 9.1）は永続的なルートコード実行を可能にする連鎖的攻撃[6]。

公開者DeepSeek-V4-Flash で編集GPT Image 1.5 で画像を生成

Studio Global AIで検索して事実確認さらにトレンドページを見る

研究の答え

重要なポイント

Palo Alto Networks Unit 42がSiemens RUGGEDCOM ROX II向けOTスイッチに3連鎖ゼロデイを発見（CVE 2025 40948、CVE 2025 40947、CVE 2025 40949）[6]。
CVE 2025 40948（CVSS 6.8）はxzユーティリティの設定不備でファイル開示、CVE 2025 40947（CVSS 7.5）はコマンドインジェクションで権限昇格、CVE 2025 40949（CVSS 9.1）は永続的なルートコード実行を可能にする連鎖的攻撃[6]。
影響を受けるのはRUGGEDCOM ROX IIファミリー11機種すべてのV2.17.1未満のファームウェア[4][5][6][14]。
Siemensは2026年5月12日にセキュリティアドバイザリSSA 577017を公開、V2.17.1へのアップデートを推奨[14][8]。

Illustration of a three-stage cyberattack chain targeting an industrial network switch, representing the Siemens RUGGEDCOM ROX II zero-day vulnerabilities. — Search & fact-check with cited sources for What are the three chained zero-day vulnerabilities recently disclosed in Siemens RUGGEDCOM ROX IA three-step exploit chain—file disclosure, privilege escalation, and persistent code execution—can give attackers full root access to Siemens RUGGEDCOM ROX II switches.
AI プロンプト
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the three chained zero-day vulnerabilities recently disclosed in Siemens RUGGEDCOM ROX I. Article summary: Here is the full, sourced breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com

Palo Alto NetworksのUnit 42研究チームがSiemensと連携し、同社の産業用OT（オペレーショナルテクノロジー）スイッチ「RUGGEDCOM ROX II」シリーズにおいて、連鎖的に悪用可能な3つのゼロデイ脆弱性（CVE-2025-40948、CVE-2025-40947、CVE-2025-40949）を開示しました。これらを悪用されると、攻撃者は完全な権限昇格とデバイスへの永続的なルートアクセスを獲得できます。

連鎖する3つの脆弱性の詳細

この脆弱性チェーンは以下の順序で機能します：

CVE-2025-40948（CVSS 6.8、重要度：Medium） — xzユーティリティの安全でない設定により、ルート権限で任意のファイルを読み取られます。攻撃者はスイッチのファイルシステム上の設定ファイル、パスワードハッシュ、秘密暗号鍵などを取得可能。
CVE-2025-40947（CVSS 7.5、重要度：High） — フィーチャーキー検証機能におけるコマンドインジェクションの脆弱性。ユーザーが入力したペイロードが適切にサニタイズされず、そのままルート権限で実行されるコマンドに挿入されるため、攻撃者は完全なルートアクセスを獲得できます。

Studio Global AI

研究を続けてください

このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。

Studio Global AIで検索して事実確認

人々も尋ねます