セキュリティ

SECURITY

公開：2024-08-24

MELSEC iQ-R シリーズのEthernetポートにDoS脆弱性、三菱電機がアップデートを提供

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• MELSEC iQ-R シリーズにDoS脆弱性が発見
• 遠隔からの攻撃でCPUユニットにエラーが発生
• アップデートによる対策が提供されている

MELSEC iQ-R シリーズのEthernetポートにおけるDoS脆弱性

三菱電機株式会社は、MELSEC iQ-R シリーズのEthernetポートにおいてサービス運用妨害（DoS）の脆弱性が存在することを2020年10月8日に公開した。この脆弱性は、リソース枯渇（CWE-400）に起因しており、遠隔の第三者によって細工されたパケットを受信することでCPUユニットにエラーが発生し、製品のプログラム実行およびネットワーク機能が停止する可能性がある。^[1]

影響を受けるのは、R00/01/02CPU、R04/08/16/32/120CPU、R04/08/16/32/120ENCPU、R08/16/32/120SFCPU、R08/16/32/120PCPU、R16/32/64MTCPUの特定のファームウェアバージョンまたは本体OSソフトウェアバージョンである。三菱電機は、この脆弱性に対する対策として、影響を受ける製品に対するアップデートファイルを提供している。

ユーザーは、ダウンロード | 三菱電機FAから対策済みバージョンのアップデートファイルをダウンロードし、アップデートを実施することが推奨される。アップデートが不可能な製品に関しては、ファイアウォールや仮想プライベートネットワーク（VPN）の使用、信頼できないネットワークやホストからのアクセス制限などの回避策を適用することで、脆弱性の影響を軽減することが可能だ。

MELSEC iQ-R シリーズの脆弱性対象製品まとめ

サービス運用妨害（DoS）について

サービス運用妨害（DoS）とは、システムやネットワークのリソースを意図的に枯渇させ、本来のサービスを利用不能にする攻撃のことを指しており、主な特徴として以下のような点が挙げられる。

• システムやネットワークの正常な動作を妨害する
• 大量のリクエストや不正なパケットを送信して攻撃を行う
• サービスの可用性を低下させ、ユーザーへの提供を困難にする

MELSEC iQ-R シリーズの場合、遠隔の第三者によって細工されたパケットを受信することでCPUユニットにエラーが発生し、製品のプログラム実行およびネットワーク機能が停止するサービス運用妨害（DoS）攻撃を受ける可能性がある。この脆弱性は、産業用制御システムの安定性と可用性に重大な影響を与える可能性があるため、迅速な対応が求められる。

MELSEC iQ-R シリーズの脆弱性に関する考察

MELSEC iQ-R シリーズのEthernetポートにおけるDoS脆弱性の発見は、産業用制御システムのセキュリティ強化の重要性を再認識させる出来事だ。この脆弱性が悪用された場合、製造ラインの停止や重要インフラの機能不全など、深刻な影響を及ぼす可能性がある。一方で、三菱電機が迅速に対応策を提供したことは評価できる点であろう。

今後の課題として、産業用制御システムのネットワーク分離やセグメンテーションの徹底、定期的な脆弱性スキャンの実施、セキュリティアップデートの迅速な適用などが挙げられる。また、制御システムベンダーには、設計段階からセキュリティを考慮したシステム開発（セキュリティ・バイ・デザイン）の採用が求められるだろう。さらに、ユーザー企業においても、セキュリティ意識の向上とインシデント対応体制の整備が不可欠だ。

産業用制御システムのセキュリティは、サイバー攻撃の高度化に伴いますます重要性を増している。MELSEC iQ-R シリーズの事例を教訓に、業界全体でセキュリティ対策の強化と情報共有の促進が進むことが期待される。同時に、制御システムの可用性とセキュリティのバランスを取りつつ、新たな脅威に対応できる柔軟なセキュリティフレームワークの構築が今後の課題となるだろう。

参考サイト

1. ^ JVN. 「JVNVU#96827040: MELSEC iQ-R シリーズの Ethernet ポートにおけるサービス運用妨害 (DoS) の脆弱性」. https://jvn.jp/vu/JVNVU96827040/index.html, (参照 24-08-24).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧