Siemens Parasolidの境界外読み取り脆弱性（CWE-125）について、X_Tファイル解析時のリスクとV38.0.235以降の更新対応

解説

CADソフトウェアなどで使用されるSiemens Parasolidライブラリが、X_T形式のファイルを解析する際に「境界外読み取り（Out-of-bounds Read）」という脆弱性を持つことが報告されました。この脆弱性を悪用された場合、アプリケーションの動作停止や任意のコード実行につながる恐れがあります。

本来は外部ネットワークからの攻撃を防ぐため、防御的な対策が重要とされていますが、今回はファイル解析処理のような内部データフローを経由するリスクも考慮する必要があります。

自社環境でこの種の脆弱性を扱う場合は、利用しているCADシステムや設計ツールなどにおけるライブラリのバージョン管理、特にX_Tファイルを取り扱うプロセス周りの確認が重要なポイントになります。影響範囲を特定し、適用可能な最新版への更新を進めるよう検討しておきたいところです。

ポイント

• Siemens ParasolidがX_Tファイル解析時に境界外読み取り脆弱性（CWE-125）の影響を受けることが報告されました。攻撃者は悪用により、アプリケーションのクラッシュや任意のコード実行を引き起こす可能性があります。
• ベンダーはV38.0.235以降、またはV38.1.230以降など、具体的なバージョンアップによる修正パッチを提供し、アップデートを推奨しています。
• 一般的に、ICS環境ではネットワークの露出を最小限に抑え、ファイアウォールやVPNなどを用いて物理的・論理的に防御することが求められています。

情シスへの影響

この脆弱性は、主にParasolidライブラリを使用しているCADシステムや設計ツールなどのアプリケーション層に影響を及ぼします。

• ファイル解析プロセス: X_T形式のファイルを読み込む処理が実行される際のリスクがあります。攻撃者はネットワーク経由ではなく、内部的なデータフローを通じて悪意のあるファイルを利用して脆弱性を誘発できる可能性があります。

• 修復対応: 影響を受けている全てのシステムにおいて、指定されたバージョン（V38.0.235以降、またはV38.1.230以降）へのライブラリおよび関連アプリケーションの更新が必要です。

影響範囲

Siemens Parasolidを利用するCADソフトウェア、設計ツールなど。影響を受けるのはX_T形式ファイルを読み書きする処理を実行する環境（クライアント/サーバー）。具体的なバージョン範囲については、ベンダーからの通知と公式ドキュメントで確認する必要があります。

重要度

★★★★★

対象者

• M365管理者
• AD管理者
• Windows管理者
• Linux管理者
• ネットワーク管理者
• セキュリティ担当者

優先度

今すぐ対応

優先度の理由

本件はコード実行やクラッシュを引き起こす深刻な脆弱性が報告されており、ベンダーが具体的な修正バージョン（V38.0.235など）を提示しているため、悪用されるリスクを最小化するために即時のアップデートが必要です。ただし、対象のシステム特定とパッチ適用は影響範囲の調査が必要なため、急ぎでの情報収集から開始すべきです。

確認手順

• 利用している設計ソフトウェアやアプリケーションがSiemens Parasolidライブラリを使用しているか確認する。
• Parasolidライブラリの現行バージョンを特定し、影響を受けるかどうかベンダーの公式アドバイザリーと照合する。
• パッチ適用に際しては、V38.0.235またはV38.1.230以上の最新バージョンへのアップデート計画を策定し、テスト環境で動作検証を行う。
• システム全体のリスクアセスメントを実施し、インターネットからのアクセスや外部ユーザーがX_Tファイルを扱う可能性のある経路を特定する。