【CVE-2024-10534】Dataprom InformaticsのPACS-ACSSにアクセス制御の脆弱性、トラフィックインジェクションのリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Dataprom InformaticsのPACS-ACSSのアクセス制御の脆弱性
CVE-2024-10534の影響範囲まとめ
Origin Validation Errorについて
PACS-ACSSの脆弱性に関する考察
参考サイト

記事の要約

Dataprom InformaticsのPACS-ACSSにアクセス制御の脆弱性
発見された脆弱性はCVE-2024-10534として特定
影響を受けるバージョンは2024年より前のすべて

Dataprom InformaticsのPACS-ACSSのアクセス制御の脆弱性

TR-CERTは、Dataprom InformaticsのPersonnel Attendance Control SystemsおよびAccess Control Security Systemsに影響するアクセス制御の脆弱性【CVE-2024-10534】を2024年11月15日に公開した。この脆弱性は2024年より前のバージョンに影響を与え、トラフィックインジェクションを可能にする深刻な問題として特定されている。^[1]

CVSSスコアは8.6（HIGH）と評価され、攻撃の複雑さは低く、特権レベルは制限付きであることが明らかになった。攻撃者はユーザーインターフェースを介して攻撃を実行する必要があるが、機密性、整合性、可用性のすべてにおいて高いレベルの影響を及ぼす可能性が確認されている。

SSVCの評価によると、現時点で自動化された攻撃の証拠は確認されていないものの、技術的な影響は全体に及ぶとされている。この脆弱性に関する詳細な情報はTR-CERTのウェブサイトで公開されており、影響を受けるすべてのシステムの管理者に対して早急な対応が推奨されている。

CVE-2024-10534の影響範囲まとめ

項目	詳細
影響製品	Personnel Attendance Control Systems (PACS) / Access Control Security Systems (ACSS)
影響バージョン	2024年より前のすべてのバージョン
CVSSスコア	8.6（HIGH）
脆弱性タイプ	CWE-346 Origin Validation Error
技術的影響	全体的な影響（Total）
発見者	Yusuf Kamil CAVUSOGLU

脆弱性の詳細はこちら

Origin Validation Errorについて

Origin Validation Errorとは、システムがリクエストの発信元を適切に検証できない脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

リクエストの発信元の検証が不適切または欠如
攻撃者による不正なリクエストの偽装が可能
クロスサイトリクエストフォージェリ攻撃のリスクが増大

Personnel Attendance Control SystemsおよびAccess Control Security Systemsにおけるこの脆弱性は、CVSSスコア8.6という高い深刻度で評価されている。この脆弱性によってトラフィックインジェクションが可能となり、システム全体のセキュリティが危険にさらされる可能性が高まっている。

PACS-ACSSの脆弱性に関する考察

Dataprom InformaticsのPACS-ACSSにおける脆弱性の発見は、入退室管理システムのセキュリティ強化の重要性を改めて浮き彫りにした。特にOrigin Validation Errorの発見により、従来の認証システムにおける発信元検証の仕組みを見直す必要性が高まっており、より厳格な認証プロセスの実装が求められている。

今後は同様の脆弱性を防ぐため、より堅牢な認証システムの開発とセキュリティテストの強化が不可欠となるだろう。特に入退室管理システムは企業の物理的セキュリティの要となるため、定期的な脆弱性診断の実施や、インシデント発生時の迅速な対応体制の整備が重要な課題となっている。

また、セキュリティ製品における脆弱性の早期発見と修正のためのエコシステムの構築も重要な検討事項だ。製品開発者、セキュリティ研究者、エンドユーザーの三者が密接に連携し、脆弱性情報の共有と対策の迅速な展開を可能にする体制作りが望まれる。