セキュリティ

SECURITY

公開：2025-05-22

三菱電機GENESIS64とMC Works64の脆弱性CVE-2025-0921情報公開、ローカル認証済み攻撃への対策が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• 三菱電機がGENESIS64とMC Works64の脆弱性を公開
• ローカル認証済み攻撃者が不正なファイル書き込みを実行可能
• サービス運用に必要なファイル破壊によるDoS攻撃も可能

三菱電機GENESIS64とMC Works64の脆弱性情報公開

三菱電機は2025年5月15日、自社製品GENESIS64とMC Works64における情報改ざん脆弱性（CVE-2025-0921）に関する情報を公開した。この脆弱性は、マルチエージェント通知機能のPagerエージェントに存在する不必要な権限での実行に起因するものである。

ローカルで認証された攻撃者は、影響を受ける製品のサービスが書き込み先として使用するファイルから対象ファイルへのシンボリックリンクを作成することで、任意のファイルへの不正な書き込みを実行できる可能性があるのだ。この脆弱性は、すべてのバージョンのGENESIS64とMC Works64に影響を与える。

攻撃者は、この脆弱性を悪用してPC上のファイルを破壊し、そのファイルがPCの動作に必要であれば、サービス運用阻害（DoS）を引き起こす可能性がある。三菱電機Iconics Digital Solutions GENESIS64については、バージョン10.97.3より前のバージョンが影響を受ける。

この脆弱性に対する修正プログラムは、既に提供されている。ユーザーは速やかにアップデートを実施する必要がある。

脆弱性情報詳細

三菱電機セキュリティ情報

シンボリックリンクとDoS攻撃について

この脆弱性では、シンボリックリンクが攻撃手法として利用されている。シンボリックリンクとは、あるファイルやディレクトリへの別名のようなもので、攻撃者はこれを悪用して、本来アクセスできないファイルにアクセスしたり、書き換えたりすることができるのだ。

• シンボリックリンクの悪用
• 任意のファイルへの書き込み
• ファイル破壊によるDoS攻撃

攻撃者は、システムの重要なファイルへのシンボリックリンクを作成し、そのリンクを介してファイルを破壊することで、サービス運用阻害（DoS）を引き起こす。この攻撃は、システムの安定性を脅かす深刻な脅威となる。

CVE-2025-0921に関する考察

今回の脆弱性は、ローカル認証済み攻撃者による任意のファイルへの書き込みを許容する深刻な問題だ。攻撃者は、システムファイルの改ざんによるサービス停止や、機密情報の漏洩といった被害をもたらす可能性がある。迅速なパッチ適用が不可欠である。

今後、同様の脆弱性が他の三菱電機の製品や、他社製品でも発見される可能性がある。そのため、定期的なセキュリティアップデートの実施や、セキュリティ監査の実施が重要となるだろう。また、攻撃手法の高度化にも対応できるよう、セキュリティ対策の強化が必要だ。

さらに、この脆弱性のような、不必要な権限での実行を許容する脆弱性の発見を減らすためには、開発プロセスにおけるセキュリティ設計の見直しや、セキュリティテストの強化が求められる。開発者教育も重要となるだろう。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-0921」. https://www.cve.org/CVERecord?id=CVE-2025-0921, (参照 25-05-22).
2407

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧