【CVE-2024-7113】AVEVAのSuiteLink Serverに脆弱性、DoS攻撃のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
AVEVAのSuiteLink Serverに発見された脆弱性の詳細
AVEVAのSuiteLink Server脆弱性の影響まとめ
サービス運用妨害（DoS）について
AVEVAのSuiteLink Server脆弱性に関する考察
参考サイト

記事の要約

AVEVAのSuiteLink Serverに脆弱性が発見
制限または調整なしのリソース割り当ての問題
アップデートによる対策が提供された

AVEVAのSuiteLink Serverに発見された脆弱性の詳細

AVEVAは2024年8月14日、同社が提供するSuiteLink Serverに制限または調整なしのリソースの割り当ての脆弱性が存在することを公開した。この脆弱性はCVE-2024-7113として識別されており、CWEによる脆弱性タイプは制限または調整なしのリソースの割り当て（CWE-770）に分類されている。^[1]

影響を受けるシステムは、SuiteLink バージョン3.7.0およびそれ以前、Historian バージョン2023 R2 P01およびそれ以前、InTouch バージョン2023 R2 P01およびそれ以前、Application Server バージョン2023 R2 P01およびそれ以前、Communication Drivers Pack バージョン2023 R2およびそれ以前、Batch Management バージョン2023およびそれ以前の製品となっている。これらの製品に当該SuiteLink Serverがインストールされている場合、脆弱性の影響を受ける可能性がある。

脆弱性が悪用された場合、攻撃が行われている間、リソースが過度に消費されデータのI/O処理が遅くなることにより、サービス運用妨害（DoS）状態に陥る可能性がある。AVEVAは本脆弱性を修正したSuiteLink v3.7.100を提供しており、影響を受ける製品のユーザーに対してアップデートを推奨している。

AVEVAのSuiteLink Server脆弱性の影響まとめ

	影響を受ける製品	脆弱性の種類	想定される影響	対策方法
詳細	SuiteLink、Historian、InTouchなど	CWE-770	DoS状態	アップデート
バージョン	3.7.0以前	CVE-2024-7113	I/O処理の遅延	v3.7.100へ更新

サービス運用妨害（DoS）について

サービス運用妨害（DoS）とは、システムやネットワークのリソースを意図的に枯渇させ、本来のサービスを利用できない状態に陥らせる攻撃のことを指す。主な特徴として以下のような点が挙げられる。

大量のリクエストやトラフィックを送信し、サーバーやネットワークに過負荷をかける
システムの脆弱性を突いて、リソースを過剰に消費させる
正規ユーザーのサービス利用を妨げ、ビジネスに深刻な影響を与える可能性がある

AVEVAのSuiteLink Serverに発見された脆弱性の場合、リソースの割り当てに制限がないことを悪用され、システムのリソースが過度に消費される可能性がある。これにより、データのI/O処理が遅延し、結果としてシステム全体のパフォーマンスが低下し、正常なサービス提供が困難になる恐れがある。

AVEVAのSuiteLink Server脆弱性に関する考察

AVEVAのSuiteLink Serverに発見された脆弱性は、産業用制御システム（ICS）セキュリティの重要性を改めて浮き彫りにしたといえる。特に、Historian、InTouch、Application Serverなど、多岐にわたる製品に影響があることから、産業界全体に与える影響は小さくない。今後、同様の脆弱性が他のICS製品でも発見される可能性があり、業界全体でのセキュリティ意識の向上が求められるだろう。

一方で、AVEVAが迅速に脆弱性を公開し、修正版を提供したことは評価できる。しかし、影響を受ける製品が多岐にわたることから、すべてのユーザーが速やかにアップデートを実施できるかが課題となる。特に、24時間稼働が求められる産業用システムでは、アップデートのための計画的なダウンタイムの確保が難しい場合もあるだろう。

長期的には、ICS製品の開発段階からセキュリティを考慮したアプローチ、いわゆる「Security by Design」の重要性が高まると予想される。また、脆弱性が発見された際の迅速な対応と、ユーザーへの適切な情報提供のプロセスを確立することが、今後のICS業界全体の課題となるだろう。AVEVAには、今回の経験を活かし、さらなるセキュリティ強化と、ユーザーとのコミュニケーション改善に取り組むことが期待される。