【CVE-2024-47134】Kostac PLC Programming Softwareに複数の深刻な脆弱性、早急なアップデートが必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

ジェイテクトエレクトロニクス製Kostac PLCソフトウェアに脆弱性
複数の深刻な脆弱性が発見され、対策版がリリース
Version 1.6.15.0以降へのアップデートを推奨

Kostac PLC Programming Softwareの複数の脆弱性が判明

株式会社ジェイテクトエレクトロニクスは、同社が提供するKostac PLC Programming Software（旧名称：Koyo PLC Programming Software）に複数の深刻な脆弱性が存在することを2024年10月2日に公開した。影響を受けるバージョンはVersion 1.6.14.0およびそれ以前のバージョンであり、早急なアップデートが推奨されている。^[1]

発見された脆弱性は、境界外書き込み（CWE-787）、スタックベースのバッファオーバーフロー（CWE-121）、境界外読み取り（CWE-125）の3種類であり、いずれもCVSS基本値が7.8と高い深刻度を示している。これらの脆弱性は、攻撃者が細工したプロジェクトファイルをユーザーが開くことで悪用される可能性があるため、注意が必要だ。

脆弱性が悪用された場合、サービス運用妨害（DoS）状態に陥ったり、任意のコードが実行されたり、情報が漏えいしたりする危険性がある。ジェイテクトエレクトロニクスは対策として、Kostac PLC Programming Software Version 1.6.15.0およびそれ以降のバージョンへのアップデートを強く推奨している。

Kostac PLC Programming Softwareの脆弱性まとめ

	CVE番号	脆弱性タイプ	CVSS基本値
脆弱性1	CVE-2024-47134	境界外書き込み（CWE-787）	7.8
脆弱性2	CVE-2024-47135	スタックベースのバッファオーバーフロー（CWE-121）	7.8
脆弱性3	CVE-2024-47136	境界外読み取り（CWE-125）	7.8

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標である。主な特徴として以下のような点が挙げられる。

0.0から10.0までの数値で脆弱性の深刻度を表現
攻撃の難易度や影響範囲など複数の要素を考慮
ベンダーや組織間で一貫した脆弱性評価が可能

Kostac PLC Programming Softwareの脆弱性はいずれもCVSS基本値が7.8と評価されており、これは「重要」レベルに分類される深刻度である。この評価は、攻撃の成功により重大な影響が生じる可能性が高いことを示しており、早急な対策が必要であることを意味している。

Kostac PLC Programming Softwareの脆弱性に関する考察

Kostac PLC Programming Softwareの脆弱性が明らかになったことで、産業用制御システムのセキュリティ管理の重要性が改めて浮き彫りになった。PLCプログラミングソフトウェアは工場や設備の制御に直結するため、これらの脆弱性が悪用された場合、生産ラインの停止や不正操作など、深刻な影響が生じる可能性がある。そのため、今回のような脆弱性の迅速な公開と対策の提供は、ユーザー企業の安全確保において極めて重要な取り組みといえるだろう。

今後の課題として、PLCソフトウェアのセキュリティ強化に加え、ユーザー側のセキュリティ意識向上も不可欠だ。特に、外部から入手したプロジェクトファイルの取り扱いには細心の注意が必要となる。対策として、ファイルの出所確認やサンドボックス環境での事前チェックなど、多層的な防御策の導入が効果的だろう。

将来的には、PLCソフトウェアにAIを活用した異常検知機能を組み込むなど、より高度なセキュリティ機能の実装が期待される。また、産業用制御システム全体のセキュリティ強化に向けて、ベンダー間の協力体制を構築し、脆弱性情報の共有や対策技術の標準化を進めていくことが重要になるだろう。