Schneider Electric IGSSの定義モジュールにOut-of-bounds Write脆弱性、パッチ適用とOT/IT分離の見直しが急務

解説

産業プラントの監視・制御に利用されるSCADAシステム「IGSS」において、深刻な脆弱性が発見されました。この脆弱性は、設計時コンポーネントであるDefinitionモジュールが不正なファイルを取り込む際に発生し、データ損失や任意のコード実行（RCE）につながる可能性があります。これは産業インフラの制御に関わる極めて重要な指摘です。

ポイント

• Schneider ElectricのSCADAシステム「IGSS」の定義モジュールにおいて、「Out-of-bounds Write」脆弱性が発見され、データ損失や任意のコード実行のリスクがある。
• ベンダーは修正バージョン18.0.0.26125を提供しており、至急パッチ適用が推奨される。未適用の場合は、信頼できないソースからのファイル操作を避ける緩和策（Mitigation）が必要である。
• 技術的な対策に加え、コントロールシステムネットワークとビジネスネットワークの物理的・論理的分離、リモートアクセス時のVPN利用など、包括的なセキュリティ体制の強化が重要である。

情シスへの影響

「IGSS」を利用している工場のSCADAシステム環境全般に対し、非常に高い影響を及ぼします。

1. ソフトウェアの脆弱性（Out-of-bounds Write）について

• 攻撃リスク: MALICIOUSなCGFファイルのインポートを通じて発生し得る任意のコード実行 (RCE) の危険性が存在するため、システム制御不能のリスクがあります。

• 対策義務: 直ちに指定された修正バージョンへのパッチ適用が必要です。適用が難しい場合でも、外部からのファイル入出力やコマンド実行を厳しく制限する運用上の緩和策（Mitigation）が求められます。

2. システム全体のサイバーセキュリティ体制について

• 設計・運用見直し: 本脆弱性の通知を受け、SCADA/ICS環境全体におけるネットワークの物理的隔離、リモートアクセスの管理方法、認証制御などの包括的なセキュリティポリシーの見直しと実装が求められます。

• 運用手順変更: 外部メディア（USBメモリなど）や不可信なソースからの接続に対しては、使用前の徹底的なスキャンおよび検証プロセスを導入する必要があります。

影響範囲

製品名: Schneider Electric IGSS (Interactive Graphical SCADA System) のIGSS Definitionモジュール

対象バージョン: 本通知が指す脆弱性を持つ全てのバージョン（修正版：18.0.0.26125）

影響を受ける領域: 工場・産業プラントの制御システムネットワーク(OT層)、SCADA運用ワークステーション、開発環境。

対応範囲: ソフトウェアアップデートによるパッチ適用。また、組織全体におけるOT/IT境界のセキュリティポリシー再構築が必要。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• Windows管理者
• Linux管理者
• IT運用エンジニア

優先度

今すぐ対応

優先度の理由

本件は、任意のコード実行（RCE）につながる深刻な脆弱性であり、産業インフラの制御システムが対象です。悪用される可能性が高く、データの損失やシステム停止リスクが極めて高いため、「今すぐ対応」レベルと判断します。まずベンダーから提供されているパッチを速やかに適用し、それが不可能な場合でも、提案されている緩和策（ファイル入出やコマンド実行の制限）を緊急で徹底する必要があります。

確認手順

• IGSSシステムが使用しているDefinitionモジュールのバージョンを確認し、脆弱なバージョンに該当するか特定する。
• ベンダー公式サイトより提供されている修正パッチ（v18.0.0.26125）を入手し、適用手順と影響範囲を公式ドキュメントで確認する。
• システム管理者に対し、業務上不要な外部からのファイルインポートや実行コマンドの利用が禁止されるよう、緊急の運用ルール変更を指示・周知徹底する。
• SCADAネットワークとビジネスネットワーク（IT）間の物理的または論理的な接続性を確認し、可能な限り分離が実現できているか検証を行う。