OpenSSLのCMS/PKCS#7データ解析における脆弱性（DoS・RCEリスク）とSiemens Desigo CCへの影響と確認事項

解説

本稿では、情報セキュリティライブラリであるOpenSSLに発見された脆弱性について解説します。この問題は、リモートの攻撃者がサービスの停止（DoS）や、状況によっては遠隔からのコード実行を試みられる可能性があるため、情シス部門にとって非常に警戒すべき内容です。

特に、Siemens Desigo CCなど、重要インフラ設備の制御システムで利用される製品が影響を受ける可能性があります。脆弱性は、CMSまたはPKCS#7といったデータ形式から、AEAD暗号（例：AES-GCM）を使ったメッセージのパラメータを解析する際に発生します。

自社環境では、当該データの解析機能を利用しているサービスやアプリケーションがないか確認しておきたいところです。また、ネットワーク的に制御システムがインターネットに直接露出していないか、隔離されているかを再点検することが重要になります。

ポイント

• OpenSSLにおけるCMSメッセージ解析処理でのスタックベースバッファオーバーフロー脆弱性が発見されました。
• Siemens Desigo CC製品など、AEAD暗号を使用する特定のデータ解析サービスに影響を及ぼす可能性があります。
• ベンダーはアップデート版の適用やネットワーク隔離などの対策を推奨しており、迅速な対応が求められます。

情シスへの影響

■ 脆弱性の概要と影響範囲

本件は、CMSまたはPKCS#7コンテンツ（特にS/MIMEなど）において、AEAD暗号を使用するメッセージのIVパラメータ処理時に、サイズ検証を怠ったことでスタックベースのオーバーフローを引き起こすものです。これによりDoS攻撃やリモートコード実行につながるリスクがあります。

■ 影響を受ける製品とバージョン

Siemens Desigo CCが対象であり、特にOpenSSLのバージョン3.6, 3.5, 3.4, 3.3, 3.0が脆弱性を含んでいます。一方、OpenSSL 1.1.1および1.0.2は影響を受けません。

■ 推奨される対応措置（Siemens社より）

具体的なアップデートバージョンとして、Desigo CCにはV9.0 QU1以降またはパッチV8.0 QU2.0021の適用が推奨されています。また、ネットワークレベルでの防御策として、コントロールシステムデバイスのインターネットからのアクセス遮断や、ファイアウォールによる隔離措置が強く求められています。

影響範囲

Siemens Desigo CC製品（特にCMS/PKCS#7データの解析機能を利用する部分）。OpenSSLライブラリバージョン 3.0～3.6。影響はネットワーク通信経路、アプリケーションのデータ処理ロジック、およびシステムの設定に及びます。具体的な対応版（V9.0 QU1以降またはパッチV8.0 QU2.0021）への更新が必要です。

重要度

★★★★★

対象者

• M365管理者
• ネットワーク管理者
• セキュリティ担当者

優先度

今すぐ対応

優先度の理由

本脆弱性はスタックベースのバッファオーバーフローであり、リモートからの攻撃を受けやすく（認証前の処理段階で発生）、深刻なDoSやRCEにつながる可能性があるためです。ベンダーが具体的なパッチバージョンを提示しており、迅速にパッチ適用を実施するか、ネットワークによる隔離といった防御措置をとることが急務です。

確認手順

• 自社環境で使用しているSiemens Desigo CCの正確なバージョンと、利用されているOpenSSLライブラリのバージョン（特に3.0～3.6）を特定する。
• ベンダーが提示する最新の推奨パッチバージョン（V9.0 QU1以降またはパッチV8.0 QU2.0021など）と比較し、適用漏れがないか確認する。
• CMS/PKCS#7データの解析や処理を行う全てのサービス、アプリケーションの設定とロギングを監査し、この機能がどのシステムで利用されているかを洗い出す。
• 本機能を利用するコントロールシステムデバイスおよびサーバー群について、インターネットまたは非信頼のネットワークからのアクセス可否をファイアウォールレベルで再確認・強化する。