PTC製品にCVE-2024-6098の脆弱性、DoS攻撃のリスクで早急な対応が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

PTC製品に制限なしリソース割り当ての脆弱性
ThingWorx Kepware Server等複数製品が影響
DoS攻撃の可能性、ワークアラウンド適用推奨

PTC製品の脆弱性CVE-2024-6098の概要と影響

PTCは2024年8月16日、同社が提供する複数の製品に制限または調整なしのリソースの割り当ての脆弱性（CVE-2024-6098）が存在することを公表した。この脆弱性は、ThingWorx Kepware Server 8.0から6.16、KEPServerEX 6.0.2107.0から6.16、TOP Server 6.0.2107.0から6.16、GE Industrial Gateway Server 7.610から7.616の各バージョンに影響を与えるものだ。^[1]

この脆弱性は、CWE-770に分類される制限または調整なしのリソースの割り当てに関するものである。悪用された場合、サービス運用妨害（DoS）状態が発生し、アプリケーションがクラッシュする可能性がある。PTCは現時点で恒久的な修正プログラムを提供していないが、開発者はワークアラウンドの適用を推奨している。

ユーザーは、PTC Technical Supportにログインし、提供されているワークアラウンド情報を確認することが重要だ。また、ICS Advisory（ICSA-24-228-11）や、PTCが提供する「Guide Secure Kepware Server Deployment」のPDFドキュメントも参考になるだろう。この脆弱性への対応は、産業用制御システムのセキュリティ維持に不可欠である。

PTC製品の脆弱性CVE-2024-6098の影響まとめ

	ThingWorx Kepware Server	KEPServerEX	TOP Server	GE Industrial Gateway Server
影響を受けるバージョン	8.0から6.16	6.0.2107.0から6.16	6.0.2107.0から6.16	7.610から7.616
脆弱性の種類	CWE-770	CWE-770	CWE-770	CWE-770
想定される影響	DoS、アプリケーションクラッシュ	DoS、アプリケーションクラッシュ	DoS、アプリケーションクラッシュ	DoS、アプリケーションクラッシュ
推奨対策	ワークアラウンド適用	ワークアラウンド適用	ワークアラウンド適用	ワークアラウンド適用

CWE-770について

CWE-770とは、制限または調整なしのリソースの割り当ての脆弱性を指しており、主な特徴として以下のような点が挙げられる。

システムリソースの無制限な消費を許可してしまう脆弱性
攻撃者によるリソース枯渇攻撃を可能にする
サービス運用妨害（DoS）につながる可能性が高い

PTC製品の脆弱性CVE-2024-6098は、このCWE-770に分類される。この種の脆弱性は、システムがリソースの使用量を適切に制限または監視していない場合に発生する。攻撃者はこの脆弱性を悪用し、大量のリソースを消費させることで、正規ユーザーへのサービス提供を妨害したり、システム全体をクラッシュさせたりする可能性がある。

PTC製品の脆弱性対応に関する考察

PTCによる脆弱性CVE-2024-6098の公表は、産業用制御システムのセキュリティ強化に向けた重要なステップだ。特に、影響を受ける製品がThingWorx Kepware ServerやKEPServerEXなど、多くの産業現場で使用されているツールであることから、その影響は広範囲に及ぶ可能性がある。ただし、PTCが迅速にワークアラウンドを提供したことは評価できるポイントだろう。

今後の課題としては、恒久的な修正プログラムの開発と提供が挙げられる。ワークアラウンドは一時的な対策であり、長期的にはより根本的な解決策が必要となる。また、この種の脆弱性が他の製品やバージョンにも存在する可能性があるため、PTCには継続的なセキュリティ監査と脆弱性検出のプロセス強化が求められるだろう。

ユーザー側の対応としては、提供されたワークアラウンドの迅速な適用が重要だ。同時に、影響を受ける可能性のある産業システムの運用状況を注意深く監視し、異常の早期検出に努める必要がある。長期的には、セキュリティ更新プログラムの自動適用や、セキュリティ強化機能の導入など、より包括的なセキュリティ対策の検討も重要になってくるだろう。