セキュリティ

SECURITY

公開：2025-05-24

AutomationDirect MB-Gatewayの深刻な脆弱性CVE-2025-36535が公開、リモートアクセスによる被害リスク

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• AutomationDirect MB-Gatewayの認証機能欠陥を公開
• リモートからの不正アクセスによる設定変更やコード実行の危険性
• CVSSスコア10.0のクリティカルな脆弱性と判定

AutomationDirect MB-Gatewayの脆弱性情報公開

ICS-CERTは2025年5月21日、AutomationDirect MB-Gatewayにおける深刻なセキュリティ脆弱性CVE-2025-36535を公開した。この脆弱性により、埋め込み型ウェブサーバーへの認証とアクセス制御が欠如していることが判明したのだ。

この欠陥は、攻撃者によるリモートからの不正アクセスを許容する。結果として、システム設定の変更、運用上の中断、さらには任意のコード実行といった深刻な事態につながる可能性がある。環境や公開されている機能によっては、影響の程度が異なるだろう。

脆弱性の発見者はSouvik Kandar氏であり、同氏はAutomationDirect社にこの脆弱性を報告した。CISAもこの脆弱性に関する情報を公開している。

脆弱性詳細と関連情報

脆弱性CWE-306について

CWE-306は「重要な機能に対する認証の欠如」を意味する。これは、システムの重要な機能へのアクセスを制御する認証機構が実装されていない、または適切に機能していない状態を指す。

• 認証機構の欠如
• 不適切なアクセス制御
• 権限管理の不足

この脆弱性によって、攻撃者は認証を必要とせずに重要な機能にアクセスし、システム全体を制御できる可能性がある。そのため、迅速な対策が求められるのだ。

CVE-2025-36535に関する考察

AutomationDirect MB-Gatewayの認証機能欠陥は、産業制御システム(ICS)のセキュリティにおいて深刻な問題だ。リモートからの不正アクセスによるシステムの破壊やデータ漏洩といったリスクは非常に高い。迅速なパッチ適用やアクセス制御の強化が不可欠である。

今後、同様の脆弱性が他のICS機器でも発見される可能性がある。そのため、ベンダーによるセキュリティ対策の強化と、ユーザーによる定期的なセキュリティアップデートの実施が重要となるだろう。また、多要素認証などの追加セキュリティ対策も検討すべきだ。

さらに、ICS機器に対するセキュリティ監査や脆弱性診断の体制強化も必要不可欠である。早期発見と迅速な対応によって、被害を最小限に抑えることが可能になるだろう。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-36535」. https://www.cve.org/CVERecord?id=CVE-2025-36535, (参照 25-05-24).
2415

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧