FactoryTalk Services Platformの認証脆弱性：なりすまし・権限昇格リスクとOT環境での防御策

解説

産業用制御システム（ICS）の認証基盤に、重大なセキュリティ脆弱性が発見されました。この問題は、FactoryTalk Services Platform (FTSP) のOkta Web Authenticationプロセスが原因です。

本件の仕組みとして、JWT署名検証時にアルゴリズムの確認が行われていない点が指摘されています。そのため、攻撃者が偽造トークンを作成し、システム内で任意のユーザーになりすましくなるリスクがあります。

この脆弱性が悪用された場合、低権限の利用者がシステムの構成情報への不正アクセスや、他の保護システムへ権限を付与する可能性があり、セキュリティ対策の見直しが急務となっています。

ポイント

• FactoryTalk Services Platform (FTSP) の認証プロセスにJWT署名検証に関する脆弱性がある。
• 攻撃者はこの脆弱性を利用し、なりすましを行うことでシステム設定への不正アクセスを試みることが可能になる。
• 適切なパッチ適用（v6.60以降のアップデート推奨）と、ネットワーク隔離を含む包括的なセキュリティ対策が必須である。

情シスへの影響

認証および権限昇格リスク

脆弱性が悪用された場合、低権限ユーザーが任意の正規ユーザーになりすことが可能となり、システム構成情報への不正アクセスや、他の保護システムへの権限付与（権限昇格）を許してしまう可能性があります。

適用環境の限定性と影響範囲

この問題はFactoryTalk Services Platform (FTSP) の特定のバージョンに起因し、Okta Web Authenticationを利用している認証フローが主な標的となります。攻撃が成功した場合の影響は、FTSPによって保護されている全てのシステムに及びます。

推奨される対策の実行負荷

単にパッチを適用するだけでなく、CISAの推奨に基づき、「ネットワークからの隔離」「ファイアウォールによる分離」など、OT/ICS環境全体に対する広範なセキュリティポリシーの見直しと導入が必要となる可能性があります。

影響範囲

製品: Rockwell Automation FactoryTalk Services Platform (FTSP)
影響バージョン: v6.60を含む脆弱なバージョン（具体的なバージョン範囲は公式情報要確認）
認証関連機能: Okta Web Authenticationを利用するすべての認証フロー
管理領域: システム設定、ユーザー権限管理、アクセス制御ポリシー

※本件は産業用制御システム (ICS)/OT環境に組み込まれているため、適用対象設備と稼働状況の確認が必須。

重要度

★★★★★

対象者

• ネットワーク管理者
• セキュリティ担当者
• Linux管理者

優先度

今すぐ対応

優先度の理由

この脆弱性は、なりすましを可能にしシステム構成への不正アクセス（権限昇格）という極めて深刻な結果をもたらします。悪用が確認される可能性が高く、公式から既に緩和策とパッチ情報が提供されているため、利用状況に応じて早急にバージョンアップまたは一時的な防御的措置の実施が必要です。

確認手順

• 稼働中のFTSPインスタンスについて、現在使用している正確なソフトウェアバージョンを確認する。
• Okta Web Authenticationを利用してFTSPにアクセスする認証フローを特定し、利用状況と権限構成を確認する。
• Rockwell Automationの公式セキュリティアドバイザリ（SD1786等）を参照し、影響を受けるすべてのバージョンの範囲を確定させる。
• 推奨されるパッチ適用手順やロールバック計画を策定し、適用に必要な承認フローを立ち上げる。