セキュリティ

SECURITY

公開：2024-10-24

【CVE-2024-7587】三菱電機GENESIS64とMC Works64に深刻な脆弱性、不適切なファイルアクセス権設定で情報漏えいのリスクに

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• 三菱電機製GENESIS64およびMC Works64の脆弱性が発見
• インストール時の不適切なファイルアクセス権設定が問題に
• セキュリティパッチの適用による対策が必要

GENESIS64およびMC Works64における重大な脆弱性

三菱電機は、GENESIS64およびMC Works64において不適切なファイルアクセス権設定の脆弱性【CVE-2024-7587】が発見されたことを公表した。この脆弱性はCVSS v3による深刻度基本値が7.8と評価され、攻撃者による機密情報の漏えいやデータの改ざん、システムのサービス運用妨害などのリスクが指摘されている。^[1]

GenBroker32が同一PCにインストールされている環境では、攻撃者がC:ProgramDataICONICSにアクセスすることで重大な被害が発生する可能性がある。この問題に対して三菱電機は、GENESIS64 Version 10.97.3向けのセキュリティパッチを提供し、それ以前のバージョンユーザーには最新版へのアップグレードを推奨している。

脆弱性対策として、GenBroker32の再インストールやフォルダ権限の見直しが必要となる。特にC:ProgramDataICONICSフォルダの権限から"Everyone"を削除する作業が重要で、製品がインストールされたPCのネットワークアクセス制限も推奨されている。

GENESIS64およびMC Works64の影響を受けるバージョン

不適切なファイルアクセス権設定について

不適切なファイルアクセス権設定とは、システムやアプリケーションのファイルに対する権限が適切に制御されていない状態を指す。主な特徴として以下のような点が挙げられる。

• 必要以上の権限が付与されている状態
• アクセス制御が不十分で第三者からのアクセスが可能
• 機密情報への不正アクセスのリスクが存在

今回のGENESIS64およびMC Works64の脆弱性では、GenBroker32のインストール時にC:ProgramDataICONICSフォルダに対して"Everyone"権限が付与される問題が確認された。この設定により、攻撃者が重要なデータにアクセスし、情報漏えいや改ざん、システムの停止などの被害をもたらす可能性が指摘されている。

GENESIS64およびMC Works64の脆弱性に関する考察

GENESIS64およびMC Works64の脆弱性は、産業用制御システムのセキュリティ管理における重要な課題を浮き彫りにしている。特にファイルアクセス権の適切な設定は、システムの安全性を確保する上で基本的かつ重要な要素であり、インストール時のデフォルト設定の見直しが急務となっている。

今後は製品のインストール時における権限設定の自動化やセキュリティチェック機能の強化が求められる。特に産業用システムでは、運用中の突然のシステム停止が許されないため、セキュリティパッチの適用タイミングや手順についても、より詳細なガイドラインの提供が必要だろう。

長期的には、DevSecOpsの考え方を取り入れ、開発段階からセキュリティを考慮した設計や実装を行うことが重要となる。また、定期的なセキュリティ監査や脆弱性診断の実施により、新たな脅威に対する早期発見と対応が可能な体制作りが望まれる。

参考サイト

1. ^ JVN. 「JVNDB-2024-010932 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-010932.html, (参照 24-10-24).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧