Johnson Controls XAAP Androidのローカルストレージ脆弱性：物理的アクセス時のデータ漏洩リスクと取り組むべき対策

解説

産業制御システム（ICS）に関連するAndroidアプリケーション「Johnson Controls XAAP Android」において、ローカルストレージに機密データが暗号化されずに保存される脆弱性が指摘されました。この情報は、物理的にデバイスへアクセスできる攻撃者にとって大きなリスクとなります。

一般的に、ネットワークを経由した遠隔での不正利用は難しいため、「現時点で外部からの攻撃リスクは低い」と捉えられがちです。しかし、産業設備という特性上、情報漏洩が業務継続性に与える影響は極めて深刻です。

ポイント

• Johnson Controls XAAP Androidアプリに、ローカルストレージデータの暗号化が不十分な脆弱性が存在することが判明しました。
• この脆弱性は物理的アクセスを通じて悪用される可能性があり、デバイス上の機密情報を平文で読み取られるリスクがあります。
• 対策として、速やかにXAAP Androidアプリケーションを推奨バージョン（1.53以降）に更新し、MDMによる管理強化と物理的なアクセス制限を行う必要があります。

情シスへの影響

ソフトウェアのアップデート対応

影響を受けるのは「Johnson Controls XAAP Android」というAndroidベースの産業設備用アプリケーションです。脆弱性を解消するためには、速やかにベンダーが提供する推奨バージョン（1.53以降）への更新が必須となります。

エンドポイントセキュリティポリシーの強化

このリスクを総合的に軽減するため、エンドポイントデバイス全般に対してMDMソリューションを用いたポリシー適用が求められます。特に、画面ロック、デバイス暗号化、アプリケーションホワイトリスティングなどの制御が重要になります。

ネットワークおよびアクセス制限（CISAからの提言）

広範なインシデント対策として、産業制御システム（ICS）関連のネットワーク全体について、インターネットからの直接アクセスを完全に排除し、ファイアウォールでビジネスネットワークから隔離する措置が必要です。リモートアクセスが必要な場合は、VPNなどよりセキュアな手段に限定すべきです。

影響範囲

Johnson Controls XAAP Androidを利用している全てのAndroidデバイスおよび関連システム。

• 製品: Fire Solutions Android application (XAAP Android)

• バージョン: 脆弱性を含む古いバージョン（具体的なバージョンは要確認）

• 影響範囲: デバイスのローカルストレージ、保存されている機密データ。

• 対策領域: MDMソリューションの設定（暗号化、アプリケーションホワイトリスティング）、物理的アクセス管理、ネットワーク境界防御。これらのポリシー適用状況は各部門で「要確認」です。

重要度

★★★★☆

対象者

• セキュリティ担当者
• IT管理者
• ネットワーク管理者

優先度

早めに対応

優先度の理由

本脆弱性は、物理的なアクセスと組み合わさることで情報漏洩に至るため、単なる情報収集で済ませてはいけません。ベンダーによる明確な修正バージョンが提示されており（1.53以降）、速やかにアップデートパッチの適用準備を進める必要があります。また、MDMやネットワーク隔離といった運用面での対策も併せて検討する必要があるため、「早めに対応」と判断します。

確認手順

• 対象となるXAAP Androidアプリケーションが利用されている全デバイスを特定し、リスト化する。
• ベンダー（Johnson Controls）より、推奨バージョン1.53以降の更新パッチが提供・適用可能かを確認する。
• MDMソリューションにおいて、関連デバイス群に対して画面ロック必須、フルディスク暗号化有効、およびアプリケーションホワイトリスティングなどのセキュリティポリシーが強制的に適用されているか確認し、適用漏れがないか検証する。
• ICSネットワークとビジネスネットワークの接続境界におけるアクセス制限（ファイアウォール設定等）を再レビューし、不要な通信経路が存在しないか確認する。