【CVE-2024-8884】Schneider Electric製System Monitor applicationに認証情報漏洩の重大な脆弱性、産業用PCのセキュリティに警鐘

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

IT・テックのコネクトメディア「ゼゼック」
カテゴリ毎のアーカイブ記事一覧
【カテゴリ別】2025年02月のアーカイブ一覧
【CVE-2024-8884】Schneider Electric製System Monitor applicationに認証情報漏洩の重大な脆弱性、産業用PCのセキュリティに警鐘

記事の要約
Schneider Electric製System Monitor applicationに認証情報漏洩の深刻な脆弱性
System Monitor applicationの脆弱性詳細
認証情報漏洩について
System Monitor applicationの脆弱性に関する考察
参考サイト

記事の要約

System Monitor applicationに資格情報漏洩の脆弱性を確認
攻撃者がネットワーク経由でアプリケーションにアクセス可能
CVSS3.1スコアは9.8でCriticalに分類

Schneider Electric製System Monitor applicationに認証情報漏洩の深刻な脆弱性

Schneider Electric社は、Harmony Industrial PCシリーズとPro-face Industrial PC PS5000シリーズに搭載されているSystem Monitor applicationにおいて、重大な脆弱性【CVE-2024-8884】を2024年10月8日に公開した。この脆弱性は、攻撃者がネットワーク経由でアプリケーションにアクセスした際に認証情報が漏洩する可能性があり、CWE-200（Exposure of Sensitive Information to an Unauthorized Actor）に分類される深刻な問題となっている。^[1]

CVSSスコアは9.8と評価され、攻撃の実行に必要な条件が低く、特権も不要であることから、非常に深刻な脆弱性として位置付けられている。影響を受ける製品は、HarmonyシリーズのHMIBMO、HMIBMI、HMIPSO、HMIBMP、HMIBMU、HMIPSP、HMIPEPの全バージョンに及び、同様にPro-face PS5000シリーズの全バージョンも対象となっている。

SSVCの評価によると、この脆弱性は自動化された攻撃が可能であり、システムに対する影響は全体に及ぶとされている。Schneider Electric社はセキュリティ通知SEVD-2024-282-07を通じて、この脆弱性の詳細と対応策について情報を提供している。

System Monitor applicationの脆弱性詳細

項目	詳細
CVE番号	CVE-2024-8884
影響を受ける製品	Harmony Industrial PCシリーズ、Pro-face Industrial PC PS5000シリーズ
脆弱性の種類	CWE-200（認証情報の不正な公開）
CVSSスコア	9.8（Critical）
公開日	2024年10月8日
影響	認証情報の漏洩リスク

セキュリティ通知の詳細はこちら

認証情報漏洩について

認証情報漏洩とは、ユーザー名やパスワードなどの機密性の高い情報が、意図しない形で第三者に開示されてしまう脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

システムへの不正アクセスを可能にする重大なセキュリティリスク
二次被害として個人情報や機密情報の流出につながる可能性
組織の信頼性やブランド価値に深刻な影響を与える

今回のSystem Monitor applicationの脆弱性では、ネットワーク経由でアプリケーションにアクセスした攻撃者が認証情報を取得できる状態にある。CVSSスコアが9.8と高く評価されているのは、攻撃の実行が容易で特権も必要としないことから、認証情報の漏洩リスクが非常に高いためである。

System Monitor applicationの脆弱性に関する考察

産業用PCに搭載されているSystem Monitor applicationの脆弱性は、製造業や重要インフラなどの産業分野に深刻な影響を及ぼす可能性がある。特にHarmony Industrial PCシリーズとPro-face Industrial PC PS5000シリーズは、産業制御システムの重要な構成要素として広く使用されているため、認証情報の漏洩は施設全体のセキュリティを脅かす事態につながるだろう。

今後は同様の脆弱性を防ぐため、開発段階でのセキュリティテストの強化や、定期的な脆弱性診断の実施が重要になってくる。また、産業用システムのセキュリティ対策として、ネットワークの分離やアクセス制御の厳格化、認証システムの多層化なども検討する必要があるだろう。

長期的には、産業用システムのセキュリティ強化に向けて、ベンダーとユーザー双方の意識向上が不可欠となる。特に重要インフラを支える産業用PCのセキュリティは、社会全体に影響を及ぼす可能性があることから、より一層の対策強化が求められている。