Last Updated on 2024-07-04 22:37 by admin
Microsoftは、Rockwell AutomationのPanelView Plusにおいて、遠隔地から認証なしで任意のコードを実行し、サービス拒否(DoS)状態を引き起こす可能性のある2つのセキュリティ上の欠陥を明らかにした。セキュリティ研究者Yuval Gordonによると、リモートコード実行(RCE)の脆弱性は、悪意のあるDLLをアップロードしてデバイスに読み込ませることができる2つのカスタムクラスに関連している。DoSの脆弱性は、同じカスタムクラスを利用して、デバイスが適切に処理できない特別に作成されたバッファを送信することで発生する。
CVE-2023-2071（CVSSスコア：9.8）は、認証されていない攻撃者が悪意のあるパケットを介してリモートでコードを実行できるようにする不適切な入力検証の脆弱性である。CVE-2023-29464（CVSSスコア：8.2）は、認証されていない脅威アクターが悪意のあるパケットを介してメモリからデータを読み取り、バッファサイズより大きなパケットを送信することでDoSを引き起こす不適切な入力検証の脆弱性である。これらの脆弱性の成功した悪用は、攻撃者にリモートでコードを実行させるか、情報漏洩またはDoS状態を引き起こす可能性がある。
CVE-2023-2071はFactoryTalk View Machine Edition（バージョン13.0、12.0およびそれ以前）に影響し、CVE-2023-29464はFactoryTalk Linx（バージョン6.30、6.20およびそれ以前）に影響する。Rockwell Automationによるこれらの脆弱性に関するアドバイザリは、それぞれ2023年9月12日と10月12日にリリースされた。米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、9月21日と10月17日に自身の警告を発表した。
これらの発表は、HTTP File Serverの最近公表された重大なセキュリティ脆弱性（CVE-2024-23692、CVSSスコア：9.8）を悪用していると考えられる未知の脅威アクターが、暗号通貨マイナーやXeno RAT、Gh0st RAT、PlugXなどのトロイの木馬を配布しているときに行われた。この脆弱性はテンプレートインジェクションのケースであり、特別に作成されたHTTPリクエストを送信することで、遠隔地から認証なしにシステム上で任意のコマンドを実行できる。
【ニュース解説】
MicrosoftがRockwell AutomationのPanelView Plusにおける2つの重大なセキュリティ脆弱性を発見しました。これらの脆弱性は、認証を必要とせずに遠隔地から攻撃者によって悪用される可能性があり、任意のコードを実行したり、サービス拒否（DoS）状態を引き起こすことができます。具体的には、リモートコード実行の脆弱性は、悪意のあるDLLファイルをアップロードしてデバイスに読み込ませることができる2つのカスタムクラスに関連しています。一方、DoSの脆弱性は、デバイスが適切に処理できない特別に作成されたバッファを送信することで発生します。
これらの脆弱性は、工業制御システムやクリティカルインフラストラクチャーに広く使用されているソフトウェアに影響を与えるため、その潜在的な影響は非常に大きいです。攻撃者がこれらの脆弱性を悪用することに成功した場合、製造プロセスの妨害、生産ラインの停止、さらには安全上のリスクを引き起こす可能性があります。また、情報漏洩のリスクも伴います。
このような脆弱性の発見と公表は、セキュリティコミュニティにとって重要な意味を持ちます。まず、これにより、関連する企業や組織は速やかに対策を講じることができます。Rockwell Automationと米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、これらの脆弱性に対するアドバイザリをリリースし、影響を受けるシステムのユーザーに対して、必要なパッチの適用やセキュリティ対策の強化を推奨しています。
長期的な視点で見ると、このようなセキュリティ上の問題は、製造業者やソフトウェア開発者にとって、製品の設計段階からセキュリティを考慮することの重要性を再認識させます。また、組織は、セキュリティインシデントへの対応計画を策定し、定期的なセキュリティ評価を実施することで、将来的なリスクを最小限に抑えることができます。
しかし、このような脆弱性の発見と公表は、攻撃者に新たな攻撃手法を提供する可能性もあるため、二重の剣となります。そのため、セキュリティ情報の共有と対策の実施は、慎重かつ迅速に行われる必要があります。最終的に、このようなセキュリティ上の課題に対処するためには、業界全体での協力と情報共有が不可欠です。
from Microsoft Uncovers Critical Flaws in Rockwell Automation PanelView Plus.
