セキュリティ

SECURITY

公開：2024-09-22

Kastle Systems製Access Control Systemに複数の脆弱性、遠隔からの不正アクセスリスクに対応完了

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Kastle SystemsのAccess Control Systemに複数の脆弱性
• 遠隔の第三者による機微情報へのアクセスリスクが存在
• 開発者による内部システム設定の修正で対応完了

Kastle Systems製Access Control Systemの脆弱性発見と対応

日本脆弱性情報局（JVN）は2024年9月20日、Kastle Systems社のAccess Control Systemに複数の脆弱性が存在することを公開した。この脆弱性は2024年5月1日より前のファームウェアを搭載したシステムに影響を与えるもので、CVE-2024-45861およびCVE-2024-45862として識別されている。これらの脆弱性は、それぞれハードコードされた認証情報の使用と重要な情報の平文保存に関するものだ。^[1]

これらの脆弱性が悪用された場合、遠隔の第三者によって機微な情報へアクセスされる可能性がある。この問題の重大性は高く、セキュリティ専門家たちの間で懸念が広がっている。しかし、Kastle Systems社は迅速に対応し、内部的にシステム設定を修正したことで、ユーザー側での追加の対応は不要となった。

この事例は、IoTデバイスやアクセスコントロールシステムのセキュリティの重要性を改めて浮き彫りにした。今後、他のセキュリティシステム提供業者も自社製品の脆弱性チェックを強化し、同様の問題が発生しないよう対策を講じることが期待される。ユーザー企業も、使用しているシステムのアップデート状況を定期的に確認する必要があるだろう。

Kastle Systems製Access Control Systemの脆弱性まとめ

CWE（Common Weakness Enumeration）について

CWEとは、ソフトウェアのセキュリティ上の弱点や脆弱性を分類・整理するための共通言語であり、以下のような特徴がある。

• ソフトウェアの脆弱性を体系的に分類・識別
• 開発者やセキュリティ専門家間での共通理解を促進
• 脆弱性の予防や対策に活用可能

本事例では、CWE-798（ハードコードされた認証情報の使用）とCWE-312（重要な情報の平文保存）が識別された。これらのCWE分類は、Kastle Systems社のAccess Control Systemに存在する脆弱性の性質を明確に示している。CWEを活用することで、開発者はより効果的にセキュリティ対策を講じることが可能となり、同様の脆弱性の再発防止にも寄与するだろう。

Kastle Systems製Access Control Systemの脆弱性に関する考察

Kastle Systems社のAccess Control Systemに発見された脆弱性は、物理的なセキュリティシステムにおけるサイバーセキュリティの重要性を浮き彫りにした。特に、ハードコードされた認証情報の使用や重要情報の平文保存といった基本的なセキュリティ対策の不備が明らかになったことは、業界全体にとって重要な警鐘となるだろう。今後、セキュリティシステム開発企業は、製品のセキュリティ設計段階からより厳密な検証プロセスを導入する必要がある。

一方で、この事例は IoT デバイスやアクセスコントロールシステムの脆弱性が引き起こす潜在的な危険性を示している。遠隔からの不正アクセスが可能となれば、企業や施設の物理的なセキュリティが根本から揺らぐ可能性がある。今後、セキュリティシステム提供業者は、定期的な脆弱性診断やペネトレーションテストの実施、そして迅速なパッチ適用プロセスの確立が求められるだろう。

また、この事例を通じて、ユーザー企業側のセキュリティ意識向上も重要な課題として浮かび上がった。システムの導入時だけでなく、運用中も継続的にセキュリティアップデートの確認や、脆弱性情報のモニタリングを行う必要がある。さらに、セキュリティシステム提供業者と顧客企業間のコミュニケーション強化も、今後のセキュリティリスク低減に向けた重要な取り組みとなるだろう。

参考サイト

1. ^ JVN. 「JVNVU#97683630: Kastle Systems製Access Control Systemにおける複数の脆弱性」. https://jvn.jp/vu/JVNVU97683630/index.html, (参照 24-09-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧