ダクトロニクス製制御システムにおける複数の深刻な脆弱性と対応策の解説

解説

本記事は、産業用制御システム（ICS）で使用される「ダクトロニクス」製のコントローラーファームウェア群について、複数の重要なセキュリティ脆弱性が発見されたことを通知するものです。これらの脆弱性を悪用することで、認証されていないユーザーであってもシステムの根レベルへの完全なアクセスと制御を奪われる危険性があります。

具体的には、ファームウェアのいくつかのバージョンにおいて「パストラバーサル」（意図しないディレクトリからの脱出）が可能であるほか、ファイルサービス機能（DMP-5000）がファイルを検証なしでアップロードできる「不正なファイル書き込み」の問題を抱えています。さらに、初期設定時に変更が必要とされるはずのデフォルト管理者アカウントの存在も、セキュリティ上の大きなリスクとなっています。

これらの技術的な欠陥は、単なる情報漏洩に留まらず、システム全体への完全な支配権奪取につながる可能性を秘めています。したがって、ダクトロニクス社は直ちにファームウェアの更新とパスワードの変更を強く推奨しており、組織全体のネットワーク設計の見直しも同時に促しています。

ポイント

• ダクトロニクス製制御システムにおいて、認証なしでのルートレベルアクセスを可能にする複数の深刻な脆弱性が発見されました。
• 主なリスクは、ファイルパス操作による情報漏洩や、検証のないファイルの不正アップロードなどであり、デフォルト認証情報の使い回しも大きな懸念点です。
• ベンダー側は速やかなファームウェア更新（特定のバージョンへの移行）と、管理者アカウントの強力な認証対策を必須としています。
• また、CISAからもネットワークから隔離し、アクセス経路を制限するなど、広範囲な防御策の実施が推奨されています。

情シスへの影響

1. ファームウェアおよびソフトウェアの脆弱性（パストラバーサル/不正ファイルアップロード）

影響：認証あり・なしの両方のユーザーから、意図しないディレクトリへのアクセスや任意ファイルのアップロードが可能となり、システム情報が漏洩したり、実行可能なマルウェアをサーバーに書き込むことができてしまいます。

対応ポイント：対象となるファームウェアバージョン（未指定の「Various versions」）と、DMP-5000などの特定サービスの稼働状況を確認し、速やかにベンダーが推奨するパッチバージョンへのアップデートを計画する必要があります。

2. デフォルト認証情報の管理不足

影響：初期設定で変更されるべき管理者アカウントのデフォルト情報がそのまま利用可能であり、これだけでシステム全体にフルアクセスを与えてしまいます。これは運用上のヒューマンエラーだけでなく、セキュリティ対策が不十分な設計そのものが大きな穴となります。

対応ポイント：全ての制御系デバイス（OT領域）について、ハードコードされた認証情報を把握し、強力で一意性の高いパスワードへの変更と、可能であれば多要素認証の導入を検討する必要があります。

3. ネットワーク的な対策（CISA提言）

影響：本件は単なるパッチ適用に留まらず、制御システム全体のリスク管理が必要であることを示唆しています。インターネットや企業ネットワークから制御系ネットワーク（OT）を論理的・物理的に分離できていない場合、不正侵入の足がかりとなりやすいです。

対応ポイント：ファイアウォールによる厳格なエッジ防御の実装状況、外部からのリモートアクセス経路（VPNなど）のセキュリティポリシーの見直しと最小化が必要です。

重要度

★★★★★

対象者

• ネットワーク管理者
• セキュリティ担当者
• Linux管理者
• AD管理者
• Windows管理者

優先度

早めに対応