Johnson Controls Inc. Airwall

解説

本記事は、ネットワークセキュリティ製品であるJohnson Controls社のAirwallに関わる複数の技術的な脆弱性について解説しています。特に懸念されているのは、システム内にハードコードされた認証情報と、任意のファイルを読み取られる可能性があるという2点です。これらの脆弱性が悪用されると、単なる機能停止に留まらず、機密性の高い設定ファイルやパスワードが漏洩し、システムの内部から広範囲な不正アクセスにつながるリスクがあります。

ポイント

• Johnson Controls社のAirwallにおいて、ハードコードされた認証情報（CVE-2026-64887）および任意のファイル読み出し（CVE-2026-34492）の脆弱性が確認された。
• これらの脆弱性を悪用されると、機密データや認証情報を取得し、システムへの不正アクセスが可能となるため危険性が高い。
• 対策として、ベンダーからのパッチ適用に加え、鍵管理の外部化、最小権限の原則適用、入力検証の徹底などの高度なセキュリティ対応が求められる。

情シスへの影響

1. ハードコードされた認証情報に関する脆弱性 (CVE-2026-64887)

• 影響の概要: Airwallアプリケーション内にハードコードされた認証情報（鍵やパスワード）が存在することが判明しました。このキーは全インストールで同一であるため、一度漏洩すると全てのAirwall製品が共通して危険にさらされます。

• 影響範囲: アプリケーションの設定ファイルやデータベースに格納されている機密データ（暗号化されたアプリケーションデータなど）の復号解読に使用され、データの開示またはシステムインフラの侵害につながります。

• 対策要件: 単なるパッチ適用以上の、恒久的な設計変更が強く推奨されています。秘密鍵を安全な外部管理システム（KMS/HSM）に移行し、デバイスごとに固有のキーを使用するなど、包括的なセキュリティ工学のアプローチが必要です。

2. 任意のファイル読み出し脆弱性 (CVE-2026-34492)

• 影響の概要: Airwallアプリケーションがユーザー入力値を検証せずにファイルシステム操作関数に渡してしまうことで、攻撃者がサーバー上の任意のファイルを読み出せる状態になる可能性があります（パストラバーサルなど）。

• 影響範囲: サーバーに配置されている機密性の高い構成ファイル、ソースコード、認証情報ストア、プライベートキーなどが標的となりえます。

• 対策要件: アプリケーションレベルでの入力値の厳格な検証・サニタイズに加え、「最小権限の原則」を適用し、アプリケーションがアクセスできるファイルシステム範囲を制限する（サンドボックス化）ことが不可欠です。

影響範囲

Johnson Controls Airwall製品：全てのバージョン（特にパッチv4.1.0未満）。影響を受ける設定は、認証情報管理モジュールおよびファイルI/O処理機能。適用対象は、当該Airwallがデプロイされているネットワーク境界やサーバーサイドの構成・アプリケーションコード。（具体的なバージョンや運用環境については要確認）

重要度

★★★★★

対象者

• ネットワーク管理者
• セキュリティ担当者
• M365管理者

優先度

今すぐ対応

優先度の理由

本脆弱性はハードコードされた共通鍵の存在と任意のファイル読み出しを組み合わせることで、システムのコアな機密情報（パスワードや設定）が漏洩し、システム全体への深刻かつ広範囲な侵入経路となるため、極めて緊急度が高いです。ベンダーはパッチ v4.1.0以降での対策を推奨しており、即時の影響範囲確認と対応計画が必要です。

確認手順

• 利用しているAirwallの正確なバージョンを確認し、v4.1.0以上へのアップグレードが適用されているか検証する。
• ハードコードされた鍵や認証情報がシステム設定ファイルやソースコード内に残存していないか、設計レビューを実施する。
• アプリケーションのファイルシステムアクセス権限について、「最小権限の原則」に基づき、読み出し可能なパスを制限（サンドボックス化）するよう設定を確認・実施する。
• ユーザー入力値をファイル操作関数に渡す際、必ずバリデーションとサニタイズが適用されているかコードレビューまたは設定確認を行う。