NASAのコア飛行システム（cFS）における情報漏洩リスクに関するセキュリティ通知

解説

今回は、宇宙開発機関が利用する特定の組み込みシステムに関するセキュリティ脆弱性の情報です。本件は、定型的なデータ要求を処理する際にシステムがクラッシュし、サービス停止（DoS）を引き起こす可能性があるという点が焦点となっています。

一般的な社内IT環境に直結する問題ではありませんが、産業制御システム（ICS）全般において「外部からのアクセス制限」の重要性を再認識させられます。特に、ネットワークをセグメント化したり、リモート接続を行う際のセキュリティ対策について見直しのきっかけになります。

自社環境で同様のリスク管理を行う場合、まず、特殊な組み込みシステムや制御機器がインターネットに露出していないか確認しておきたいところです。また、外部からのアクセスが必要な場合は、よりセキュアな認証方法の適用やネットワーク監視体制を改めて整理しておくと安心になります。

ポイント

• NASAのコア飛行システム（cFS）のHealth & Safety (HS)アプリケーションにセグメンテーション違反による脆弱性（CWE-476）が発見された。
• この脆弱性が悪用されると、定期的なデータ処理要求によってシステムクラッシュやサービス拒否を引き起こす可能性がある。
• 対策として特定のバージョンへの更新が推奨されており、同時に外部ネットワークからの隔離を含む広範なセキュリティ対策が求められる。

情シスへの影響

本件は特定の産業用途の制御システム（ICS）向けアプリケーションに関する脆弱性であり、直接的な社内利用を想定した一般業務システムやITインフラストラクチャへの影響は低いと考えられます。

しかしながら、貴社が制御工学システムや高度な組み込みシステムといった特殊な分野で類似のリスク管理を行う場合、以下の点で参考情報となります。

• パッチ適用/バージョン管理: 脆弱性が指摘されたアプリケーション（HS Application）の利用状況と、推奨される最新バージョンの適用計画が必要です。

• ネットワーク隔離ポリシー: ICSや制御システムを扱う環境全般において、外部からのアクセス遮断、適切なファイアウォール設定、およびセグメント分離が改めて検討・徹底する必要があります。

• リモートアクセスの管理: VPNなどを用いたリモート接続が必要な場合、そのセキュリティ強度（最新バージョンへの更新、多要素認証の必須化など）と監視体制の見直しが必要です。

影響範囲

製品：NASA Core Flight System (cFS) Health & Safety (HS) Application

影響を受ける設定/環境：HSアプリケーションが処理を行う『Housekeeping Telemetry request』に関連する部分。

対象ユーザー：当該システムを利用し、データテレメトリ要求を出すすべてのオペレーター／関連プロセス。

適用範囲（情シス観点）：貴社内部の一般業務用途ではない可能性が高いですが、もし制御システムや産業IoT設備を管理している場合、該当システムのバージョン確認とパッチ適用が必要な可能性があります。

重要度

★★☆☆☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者

優先度

様子見

優先度の理由

本脆弱性は宇宙開発機関の特定の組み込みシステムに特化しており、一般的な情シス環境における即時の対応は不要です。しかし、CISAが警告しているICS全般に対するセキュリティ対策（ネットワーク隔離、リモートアクセス管理）は普遍的な推奨事項であるため、ポリシー見直しのための情報収集として「様子見」で適切なリスクアセスメントを実施することが重要です。

確認手順

• 貴社の制御システムや組み込み機器の利用範囲を特定し、外部からアクセス可能な経路がないか確認する。
• リモートアクセスに使用しているVPNなどのサービスが最新バージョンに保たれ、多要素認証（MFA）が必須になっているか確認する。
• ネットワークセグメント間の通信ポリシーを確認し、制御系ネットワークと一般業務ネットワークの隔離が徹底されているか監査ログを通じて検証する。
• 使用している全てのシステムについて、既知の脆弱性情報を基にしたパッチ適用サイクルを再点検する。
• CISAやベンダーからの最新のICS関連セキュリティ通知を継続的に収集・共有するための体制を構築する。