Siemens、Schneider Electric、Rockwell Automationは、Patch Tuesdayのサイクル中に、産業用制御システム向けの新たなセキュリティ更新と警告を公開した。産業環境で使用されるコントローラー、周辺機器、運用プラットフォームに影響を及ぼす可能性のある脆弱性に焦点が当てられている。
Siemensが17件の速報を公開
Siemensは17件の新たなセキュリティ速報を発表した。対応には、一部の脆弱性に対する修正と、最終的な修正が提供されるまでの間、その他の脆弱性に対して適用する一時的な緩和策が含まれている。
重大な脆弱性には、一部のSimatic S7-1500中央処理装置、Industrial Edgeデバイス、Ruggedcom Crossbow Station Access Controller（SAC）が含まれる。Simaticユニットでは、GNU/Linuxサブシステムに400件を超える脆弱性が影響する。
またSiemensは、Ruggedcom Crossbow、Simatic IPC、PSS(R)SINCAL、Simatic S7 Webserver API用の.NETライブラリに加え、Industrial Edge App Publisher、Apogee、Desigo、Talon、Ruggedcom APE1808、Simatic WinCCの高リスク脆弱性にも対処した。中リスクの更新には、Sentron 3NA COM FuseとCapital Embedded AR Classicが含まれるほか、Simatic S7ユニットおよび関連製品に関する文書上の混乱についても説明が行われた。
SchneiderおよびRockwell製品の脆弱性
Schneider Electricは2件の新たな速報を公開し、それぞれが高リスクの脆弱性を扱っている。1件目はPro-face STW6000とHarmony STW6に影響し、悪意のあるウェブページへのアクセスをユーザーに誘導することで、攻撃者がデバイスを制御できる可能性がある。2件目はSage RTUユニットに影響し、高い権限を持つユーザーが悪意のあるファームウェアをデバイスにインストールするために悪用できる。
Rockwell Automationは、1732E ArmorBlockデバイスに存在する2件の脆弱性について、1件の速報を発表した。重大と分類された脆弱性により、認証されていない攻撃者がウェブサーバーのパスワードを変更できるため、管理者アカウントの乗っ取りにつながる可能性がある。2件目の脆弱性はサービス拒否を引き起こす。
セキュリティ機関からの警告
CISAは2件の新たな速報を公開した。1件目はSwann SWIFI-SE2KICカメラの脆弱性に関するもので、動画情報が露出する可能性がある。2件目はInductive AutomationのIgnition製品における権限昇格の問題を扱っている。また、ドイツのCERT@VDEは、Bender Customer&Partnerプラットフォームにおける情報漏えいの脆弱性を報告した。
今回と前回のPatch Tuesdayサイクルの間には、Moxa、Honeywell、Hitachi Energy、Johnson Controls、ABBからも速報が発表され、プロトコルゲートウェイ、資産管理システム、産業用制御システムの製品が対象となった。
なぜこのニュースが重要なのか
速報の多さと製品の多様性は、産業用制御システムのセキュリティ管理が単一の更新プログラムをインストールするだけにとどまらないことを示している。場合によっては、修正プログラムが公開されるまで、一時的な緩和策の適用、アクセス設定の見直し、ログの監視が必要になる。ArmorBlockの脆弱性は、デバイス管理インターフェースを保護する重要性を浮き彫りにしている。認証なしでウェブサーバーのパスワードを変更できる場合、周辺機器の欠陥が管理者アカウントへの経路に変わる可能性があるためだ。
ABBのdynovaPROの脆弱性について、同社は実際の悪用を把握していないと述べている。一方で、9社の顧客に影響したパスワード変更操作を26件、社内で検知しており、これはテストまたは偵察を示している可能性がある。そのため、本文は組織に対し、CISAとCERT@VDEの速報を定期的に確認するよう推奨している。ただし、情報源はこれらの脆弱性が実際に悪用されたことを証明するものではない。