【CVE-2024-6326】Rockwell Automation製品に脆弱性、不適切なデフォルトパーミッションによる情報漏洩のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Rockwell Automationの製品に脆弱性が発見
不適切なデフォルトパーミッションが主な原因
CVSS v3基本値5.5の警告レベルと評価

Rockwell Automation製品の脆弱性発見による情報セキュリティリスク

Rockwell Automationは、同社のfactorytalk policy managerおよびfactorytalk system servicesに不適切なデフォルトパーミッションに関する脆弱性が存在することを公開した。この脆弱性はCVE-2024-6326として識別されており、CVSS v3による深刻度基本値は5.5（警告）と評価されている。攻撃元区分はローカルであり、攻撃条件の複雑さは低いとされている。^[1]

影響を受けるシステムは、factorytalk policy manager 6.40.0およびfactorytalk system services 6.40.0である。この脆弱性により、攻撃者が情報を取得する可能性があるため、ユーザーは速やかに対策を講じる必要がある。Rockwell Automationは、この問題に対処するためのベンダアドバイザリやパッチ情報を公開しており、ユーザーはこれらを参照して適切な対策を実施することが推奨されている。

この脆弱性は、CWEによる脆弱性タイプ分類では「不適切な権限管理（CWE-269）」および「不適切なデフォルトパーミッション（CWE-276）」に分類されている。産業用制御システムにおけるセキュリティ問題は深刻な影響を及ぼす可能性があるため、Rockwell Automation製品のユーザーは速やかにセキュリティアップデートを適用し、システムの保護を強化することが重要である。

Rockwell Automation製品の脆弱性詳細

項目	詳細
影響を受ける製品	factorytalk policy manager 6.40.0、factorytalk system services 6.40.0
脆弱性の種類	不適切なデフォルトパーミッション
CVSS v3基本値	5.5（警告）
攻撃元区分	ローカル
攻撃条件の複雑さ	低
想定される影響	情報の取得
CWE分類	CWE-269、CWE-276

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標である。主な特徴として、以下のような点が挙げられる。

0.0から10.0までの数値で脆弱性の深刻度を表現
攻撃の難易度や影響範囲などの要素を考慮して算出
ベースメトリクス、temporalメトリクス、環境メトリクスの3つの指標で構成

CVSSは脆弱性の重要度を客観的に評価するツールとして広く利用されており、セキュリティ専門家や組織のIT管理者にとって重要な指標となっている。本件のRockwell Automation製品の脆弱性では、CVSS v3基本値が5.5と評価されており、これは「警告」レベルに相当する。この評価は、脆弱性の影響度が中程度であることを示しており、迅速な対応が推奨されるものの、即時の緊急対応までは要求されない状況を示唆している。

Rockwell Automation製品の脆弱性に関する考察

Rockwell Automation製品の脆弱性発見は、産業用制御システムのセキュリティ重要性を再認識させる契機となった。不適切なデフォルトパーミッションの問題は、システム設計段階からのセキュリティ対策の必要性を浮き彫りにしている。今後、同様の脆弱性を防ぐためには、製品開発時におけるセキュリティバイデザインの原則の徹底と、定期的なセキュリティ監査の実施が不可欠となるだろう。

一方で、この脆弱性対応におけるユーザー側の課題も浮き彫りになった。産業用システムは24時間稼働が求められる環境も多く、パッチ適用のためのダウンタイムの確保が難しい場合がある。この問題に対しては、セキュリティアップデートの段階的適用や、仮想化技術を活用したシステムの冗長化など、運用への影響を最小限に抑えつつセキュリティを強化する方策の検討が必要となるだろう。

今後、産業用制御システムのセキュリティ強化に向けて、ベンダーとユーザーの協力体制の構築が期待される。定期的な脆弱性診断の実施や、インシデント発生時の迅速な情報共有体制の整備など、継続的なセキュリティ管理プロセスの確立が重要だ。また、AIやマシンラーニングを活用した異常検知システムの導入など、新技術の積極的な活用も検討に値するだろう。