情報取得日: 2026/07/15／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2023-4346 |
|---|---|
| 製品 | KNX Association / KNX devices (Connection Authorization Option 1 / BCU key) |
| CVSS | 7.5（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 種別 (CWE) | CWE-645 Overly Restrictive Account Lockout Mechanism |
| 登録／公開日 | 2026/07/15 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2023-4346 |
KNX Connection Authorization の Option 1 を用いるビルオートメーション（照明・空調・アクセス制御等）機器で、実装によっては攻撃者が BCU キーでデバイスをロックし、正規ユーザーがリセット・アクセスできなくなる可用性喪失（DoS）の欠陥。ネットワークまたは物理アクセスがあれば悪用可能。CVSS 7.5・元は 2023年のICSアドバイザリ（ICSA-23-236-01）だが、CISA KEV に 2026-07-15 追加。クラウドではなく施設のOT/ICS機器が対象。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
コミッショニングする全KNXプロジェクトで BCU キーを設定し、その BCU キーをプロジェクト文書として建物所有者へ引き継ぐ（ベンダー推奨の緩和策）。KNX/ビル設備ネットワークをIT網から分離し、外部からの到達を遮断する。
High（CVSS 7.5）に分類されるKNX Association KNX devices (Connection Authorization Option 1 / BCU key)の脆弱性です。KNX Connection Authorization の Option 1 を用いるビルオートメーション（照明・空調・アクセス制御等）機器で、実装によっては攻撃者が BCU キーでデバイスをロックし、正規ユーザーがリセット・アクセスできなくなる可用性喪失（DoS）の欠陥。ネットワークまたは物理アクセスがあれば悪用可能。CVSS 7.5・元は 2023年のICSアドバイザリ（ICSA-23-236-01）だが、CISA KEV に 2026-07-15 追加。クラウドではなく施設のOT/ICS機器が対象。
コミッショニングする全KNXプロジェクトで BCU キーを設定し、その BCU キーをプロジェクト文書として建物所有者へ引き継ぐ（ベンダー推奨の緩和策）。KNX/ビル設備ネットワークをIT網から分離し、外部からの到達を遮断する。
KNX Association KNX devices (Connection Authorization Option 1 / BCU key) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2023-4346）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。