- ひとことでKNXの機器で、パスワード（BCUキー）を勝手に設定され、持ち主が使えなくなる弱点です。
- 深刻度7.5 重要CVSS v3.1
- まずやることBCUキーを設定していないKNXの機器がないか確かめる
基本情報（データから表示）
| CVE番号 | CVE-2023-4346 |
|---|---|
| 製品 | KNX Association KNX Protocol Connection Authorization Option 1 |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| KEVへの追加日 | 2026-07-15 |
| 米国政府機関の対応期限 | 2026-07-29 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-645 |
何が起きた
ビルの照明や空調などを制御する仕組み KNX で、Connection Authorization の Option 1 に対応した機器に、締め出しの仕組みが厳しすぎる弱点が見つかり、実際に悪用が確認されています。KNX の設備につながるネットワークに入れる攻撃者に、追加の安全の設定をしていない機器の設定を消され、BCU キー（機器のパスワード）を勝手に設定されるおそれがあります。この BCU キーは、今のパスワードを知らないと元に戻せないことが多く、持ち主が機器を使えなくなるおそれがあります。ネットワークにつないでいない機器でも、機器にじかに触れられる攻撃者なら同じように悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
KNX Connection Authorization の Option 1 を使い、BCU キーをまだ設定していない KNX の機器が影響を受けます。実際に影響を受けるかは、機器の作り方によって違います。
何をすればいい
KNX 協会の案内どおり、すべての KNX プロジェクトで BCU キーを先に設定し、その BCU キーをプロジェクトの資料として建物の持ち主に渡しましょう。KNX の設備につながるネットワークには、外から入れないようにしてください。
やることチェックリスト
- BCUキーを設定していないKNXの機器がないか確かめる
- BCUキーを設定し建物の持ち主に渡す
- KNXのネットワークに外から入れないようにする
用語メモ
- KNX
- ビルや家の照明、空調、ブラインドなどをまとめて制御するための通信の決まりごとです。
- BCU キー
- KNX の機器に設定できるパスワードのことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
KNX Association KNX Protocol Connection Authorization Option 1 Overly Restrictive Account Lockout Mechanism Vulnerability
概要
KNX Association KNX Protocol Connection Authorization Option 1 contains an overly restrictive account lockout mechanism vulnerability that could allow an attacker to purge all devices without additional security options enabled and set a BCU key to lock the device.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
この元データの出どころ: CISA KEV カタログで見る