【CVE-2024-7901】scada-lts 2.7.8にクロスサイトスクリプティングの脆弱性、情報取得や改ざんのリスクあり

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
scada-ltsのクロスサイトスクリプティング脆弱性が発見
scada-lts 2.7.8の脆弱性概要
クロスサイトスクリプティングについて
scada-ltsの脆弱性に関する考察
参考サイト

記事の要約

scada-ltsにクロスサイトスクリプティングの脆弱性
CVSS v3による深刻度基本値は5.4（警告）
影響を受けるバージョンはscada-lts 2.7.8

scada-ltsのクロスサイトスクリプティング脆弱性が発見

JVNは2024年8月22日、scada-ltsにおけるクロスサイトスクリプティングの脆弱性（CVE-2024-7901）を公開した。この脆弱性は情報の取得や改ざんにつながる可能性があり、CVSS v3による深刻度基本値は5.4（警告）と評価されている。影響を受けるバージョンはscada-lts 2.7.8であることが確認されている。^[1]

脆弱性の詳細によると、攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは低く、利用者の関与が必要とされている点も特徴的だ。影響の想定範囲には変更があり、機密性と完全性への影響は低いが、可用性への影響はないと評価されている。

JVNは対策として、参考情報を参照して適切な措置を講じるよう呼びかけている。具体的な対策方法については、ベンダー情報や関連文書を確認することが推奨されている。この脆弱性に関する情報は、National Vulnerability Database (NVD)でもCVE-2024-7901として公開されており、詳細な技術情報が提供されている。

scada-lts 2.7.8の脆弱性概要

項目	詳細
脆弱性タイプ	クロスサイトスクリプティング（CWE-79）
CVSS v3基本値	5.4（警告）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
攻撃に必要な特権レベル	低
利用者の関与	要
影響の想定範囲	変更あり

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性を悪用して、悪意のあるスクリプトをユーザーのブラウザで実行させる攻撃手法のことを指す。主な特徴として以下のような点が挙げられる。

ユーザーの入力データを適切にサニタイズしていない場合に発生
攻撃者がユーザーのセッション情報を盗むなどの被害を引き起こす可能性
反射型、格納型、DOM型の3種類に大別される

scada-ltsの脆弱性はこのXSSに分類されており、CVSS v3による評価では攻撃条件の複雑さが低いとされている。この脆弱性を悪用されると、攻撃者が特権のないユーザーとしてシステムにアクセスし、情報の取得や改ざんを行う可能性がある。対策としては、入力値の適切な検証やエスケープ処理の実装が重要となる。

scada-ltsの脆弱性に関する考察

scada-ltsにおけるクロスサイトスクリプティングの脆弱性の発見は、産業用制御システムのセキュリティ強化の重要性を再認識させる契機となった。この脆弱性のCVSS v3基本値が5.4と中程度の評価であるものの、攻撃条件の複雑さが低いという点は看過できない。産業システムの特性上、一度侵入されると甚大な被害につながる可能性があるため、早急な対応が求められるだろう。

今後の課題として、SCADAシステムのセキュリティ設計の見直しが挙げられる。特に、ユーザー入力の厳格な検証やサニタイズ処理の徹底、定期的な脆弱性スキャンの実施などが重要となってくる。また、産業用システムの特性を考慮したセキュリティ対策の強化も必要不可欠だ。システムの可用性を維持しつつ、セキュリティを向上させるバランスの取れたアプローチが求められるだろう。

長期的には、SCADAシステムの開発者やベンダーによるセキュリティ意識の向上が不可欠だ。脆弱性情報の迅速な共有や、セキュリティバイデザインの考え方を取り入れた製品開発が望まれる。また、ユーザー企業側でも、SCADAシステムの運用担当者に対するセキュリティ教育の強化や、インシデント対応計画の見直しが必要になってくるだろう。産業システムの重要性が増す中、セキュリティ対策の継続的な改善が求められている。