Schneider ElectricのSpaceLogic製品にTOCTOU脆弱性、情報漏洩やDoSのリスクが判明

text: XEXEQ編集部

記事の要約

Schneider ElectricのSpaceLogic AS-Bとプラスに脆弱性
TOCTOU競合状態の脆弱性が存在
ファームウェア6.0.1未満が影響を受ける

Schneider ElectricのSpaceLogic製品における脆弱性の詳細

Schneider Electricは、同社のSpaceLogic AS-BおよびAS-Pファームウェアにおいて、Time-of-check Time-of-use (TOCTOU)競合状態の脆弱性が存在することを公表した。この脆弱性は、CVE-2024-5558として識別され、CVSS v3による基本値は6.4（警告）と評価されている。影響を受けるのは、SpaceLogic AS-Bファームウェアおよび SpaceLogic AS-Pファームウェアのバージョン6.0.1未満である。^[1]

この脆弱性の影響として、攻撃者が情報を取得したり、改ざんしたり、さらにはサービス運用妨害（DoS）状態を引き起こす可能性がある。攻撃の成功には、ローカルアクセスと高い特権レベルが必要とされるが、利用者の関与は不要である。Schneider Electricは、この脆弱性に対処するためのベンダアドバイザリまたはパッチ情報を公開している。

CVSSスコアの詳細を見ると、攻撃元区分はローカル、攻撃条件の複雑さは高、攻撃に必要な特権レベルは高となっている。一方で、機密性、完全性、可用性への影響はいずれも高と評価されている。これは、攻撃の実行難度は高いものの、成功した場合の影響が広範囲に及ぶ可能性を示唆している。

	脆弱性の特徴	影響を受ける製品	CVSSスコア	攻撃の前提条件
詳細情報	TOCTOU競合状態	SpaceLogic AS-B/AS-P	6.4（警告）	ローカルアクセス
影響範囲	情報取得・改ざん	ファームウェア6.0.1未満	機密性・完全性・可用性に高影響	高い特権レベル
対策状況	パッチ情報公開	ベンダアドバイザリあり	-	利用者関与不要

TOCTOU競合状態について

TOCTOUとは、Time-of-check Time-of-use（検査時使用時）の略称で、ソフトウェアセキュリティにおける重要な脆弱性の一つを指す。主な特徴として以下のような点が挙げられる。

リソースの状態確認と使用の間に時間差が生じる問題
マルチスレッド環境で特に発生しやすい脆弱性
権限昇格や不正アクセスにつながる可能性がある

TOCTOU競合状態は、プログラムがリソースの状態を確認した後、そのリソースを使用するまでの間に、他のプロセスやスレッドがそのリソースの状態を変更してしまう場合に発生する。この時間差を悪用することで、攻撃者は本来アクセスできないはずのリソースに不正にアクセスしたり、予期せぬ動作を引き起こしたりする可能性がある。

SpaceLogic製品の脆弱性に関する考察

Schneider ElectricのSpaceLogic製品における今回の脆弱性は、産業用制御システムのセキュリティに新たな課題を投げかけている。今後、同様の脆弱性が他の産業用制御システムでも発見される可能性があり、業界全体でのセキュリティ強化が急務となるだろう。特に、クリティカルインフラストラクチャーで使用される製品の場合、攻撃の影響が社会全体に及ぶ可能性があるため、より慎重な対応が求められる。

今後、SpaceLogic製品には、TOCTOU競合状態を防ぐためのより強固な同期メカニズムの実装が期待される。また、脆弱性の早期発見と迅速な対応を可能にするため、継続的なセキュリティ監査やペネトレーションテストの実施も重要だ。さらに、ファームウェアの自動更新機能やセキュリティパッチの迅速な適用を可能にする仕組みの導入も、今後の課題として挙げられるだろう。

産業用制御システムのセキュリティは、今後ますます重要性を増すと考えられる。Schneider Electricには、今回の脆弱性への対応を通じて得られた知見を活かし、より安全で信頼性の高い製品開発を進めることが期待される。同時に、ユーザー企業側も、適切なセキュリティ対策の実施と、迅速なパッチ適用の重要性を再認識する必要があるだろう。