ABB製品のユーザー認証をバイパスする可能性のある脆弱性に関する注意

解説

産業制御システムで使用されるABB社の「Freelance Security Lock」という機能に関連する認証バイパスの懸念が報告されました。

この脆弱性は、通常セキュリティ対策として動作しているはずの「Freelance Operations」を迂回し、背後のWindowsオペレーティングシステム（OS）にアクセスできる可能性があります。攻撃者は、特定の文書化されていないキーボードの組み合わせを利用することで、本来はアクセスがブロックされているべきOS機能への侵入を試みることが可能だとされています。

つまり、ユーザー管理機能にセキュリティロックがかかっている状態であっても、特殊な操作を通じてシステム内部への不正アクセスが発生するリスクがあるということです。この種の脆弱性は、産業分野の制御システムなど、極めて高い信頼性が求められる環境にとって重大な脅威となり得ます。

CISA（米国サイバーセキュリティ機関）は、ネットワークの露出を最小限に抑える、ファイアウォールによる隔離を行う、VPNなどのより安全なリモートアクセス手段を利用するよう推奨しており、組織全体の防御策を強化することが求められています。システム管理者にとっては、制御システム特有のリスクを念頭に置いた対策が急務です。

ポイント

• ABB製システムの一部で、セキュリティ機能が有効な状態でも認証バイパスにより裏側のOSへアクセスできる脆弱性が指摘されている。
• 攻撃は特定のキーボードの組み合わせによるものであり、外部からのリモート攻撃ではないものの深刻度が高いと見られる。
• 組織全体としてネットワークの分離徹底や強固な防御策を講じることが求められており、管理者は即時対応を含むリスク評価が必要である。

情シスへの影響

1. システムへのアクセス制御機能（Security Lock）の信頼性低下

• 懸念点: 本来のセキュリティ機構（Freelance OperationsやSecurity Lock）が、特定の操作によって回避される可能性がある。

• 影響範囲: 脆弱性が存在するABB製システムを使用しているすべての端末。

• 対応検討事項: 単なるパスワード変更やパッチ適用だけでは不十分であり、物理的・論理的なアクセス経路の多重化と監視強化が必要。

2. ネットワーク境界防御の再評価（最も重要）

• 懸念点: この脆弱性はシステム内部の問題ですが、外部からの不正侵入を防ぐためのレイヤーが崩壊するリスクを示唆しています。

• 推奨対策: 制御システム（ICS）は業務ネットワークやインターネットから物理的・論理的に完全に隔離されているか再確認が必要です。アクセスが必要な場合は、VPNの使用に加え、多要素認証の適用拡大を検討すべきです。

3. パッチ管理とリスクアセスメント

• 対応: 提供されているアドバイザリ（ABB PSIRT）に基づき、緊急パッチや推奨される設定変更が公開されていないか確認し、適用計画を立てること。また、社内の制御システム構成における最小権限の原則（Least Privilege）が維持されているかを再監査することが重要です。

重要度

★★★★☆

対象者

• ネットワーク管理者
• セキュリティ担当者
• Linux管理者
• Windows管理者

優先度

早めに対応