mySCADA TechnologiesのmyPROに深刻な脆弱性、ハードコードされたパスワードが問題に

text: XEXEQ編集部

記事の要約

mySCADA Technologies社のmyPROに脆弱性
ハードコードされたパスワードの使用が問題
Version 8.31.0へのアップデートを推奨

myPRO脆弱性の詳細と影響範囲

mySCADA Technologies社が提供するmyPROに深刻な脆弱性が発見された。この脆弱性は、ハードコードされたパスワードの使用（CWE-259）に分類され、CVE-2024-4708として識別されている。影響を受けるのはmyPRO 8.31.0より前のバージョンであり、遠隔の第三者によって当該機器でコードを実行される可能性があるという点で極めて危険である。^[1]

この脆弱性の深刻度は、共通脆弱性評価システム（CVSS）によって評価されているが、具体的なスコアは公開されていない。しかし、ハードコードされたパスワードの使用は、攻撃者がシステムに不正アクセスする際の障壁を大幅に低下させる可能性がある。そのため、影響を受ける可能性のあるすべてのユーザーは、早急に対策を講じる必要がある。

	影響を受けるバージョン	脆弱性の種類	CVE番号	推奨される対策
myPRO脆弱性の詳細	8.31.0より前	ハードコードされたパスワードの使用	CVE-2024-4708	Version 8.31.0へのアップデート

ハードコードされたパスワードとは

ハードコードされたパスワードとは、ソフトウェアのソースコード内に直接埋め込まれたパスワードのことを指す。主な特徴として、以下のような点が挙げられる。

ソースコード内に平文で記述されることが多い
変更が困難で、多くの場合再コンパイルが必要
複数のシステムで同一のパスワードが使用される可能性が高い
ソースコードへのアクセスがあれば容易に発見できる
セキュリティ上の重大なリスクとなる

この方法は開発やテストの過程で便利に思えるかもしれないが、セキュリティの観点からは極めて危険である。攻撃者がソースコードにアクセスできた場合、システムへの不正アクセスが容易になる。また、パスワードの変更が困難なため、脆弱性が発見された後も長期間にわたってリスクが継続する可能性が高い。

myPRO脆弱性に関する考察

myPROの脆弱性は、産業用制御システム（ICS）のセキュリティに関する深刻な問題を浮き彫りにしている。ハードコードされたパスワードの使用は、開発者の利便性を優先した結果であると推測されるが、このような慣行は今後厳しく見直される必要がある。特に、重要インフラを制御するシステムにおいては、セキュリティの確保が最優先されるべきだろう。

今後、ICS開発者はセキュアコーディング practices の徹底や、定期的なセキュリティ監査の実施など、より強固なセキュリティ対策を講じる必要がある。また、ユーザー側も、システムの定期的なアップデートやパッチ適用の重要性を再認識し、セキュリティ意識を高める必要がある。ICS のセキュリティは、開発者とユーザーの双方が協力して取り組むべき課題なのだ。

この事例を踏まえ、今後のICS開発においては、デフォルトパスワードの使用禁止や、多要素認証の導入など、より強固な認証メカニズムの実装が期待される。また、脆弱性が発見された際の迅速な対応と情報公開のプロセスも重要だ。産業界全体でセキュリティに対する意識を高め、より安全なシステムの構築を目指す必要がある。