Siemens Simcenter FemapのBMPファイル解析における脆弱性：V2606.0001へのアップデートとアクセス制御の見直し

解説

設計や解析に用いられるソフトウェアにおいて、ファイル形式の読み込みプロセスを突いた脆弱性が見つかりました。これは、不正に作成されたファイルをユーザーが開くことで引き起こされるリスクです。

この問題は、単なるアプリケーションのクラッシュに留まらず、プロセス内で意図しないコードを実行されてしまう可能性を含んでいます。そのため、使用環境におけるセキュリティパッチの適用と対策の見直しが必要になります。

加えて、ネットワーク全体の防御策についても情報が提供されています。制御システムなど基幹となる設備を外部から隔離するなど、より広範囲な観点でのリスク管理を再確認しておきたいところです。

ポイント

• Simcenter FemapはBMPファイル解析時に「範囲外読み取り」の脆弱性を抱えており、悪用されると任意のコード実行につながるリスクがある。
• シメンス社は、この脆弱性に対応するためV2606.0001以降へのアップデートを強く推奨している。
• CISAからは、制御システムや解析環境全体に対し、外部からのネットワーク分離とアクセス制限など広範囲の防御策を実施することが推奨されている。

情シスへの影響

Simcenter Femapを利用するワークステーションまたはサーバー（特に設計・開発部門が利用するPC）。

• ソフトウェアバージョン: 影響を受けるすべてのSimcenter Femapインスタンス。パッチ適用が必要なのは、V2606.0001より古いバージョン。

• 攻撃ベクトル: ユーザーがMalicious BMPファイルを開くことを強制される状況（例：メール添付ファイル、共有フォルダ内の不正ファイルなど）。

• 対応範囲: クライアント端末および関連する業務用サーバー（もし解析処理のコア部分を担っている場合）でのパッチ適用とアクセス制御の見直し。

影響範囲

製品名: Simcenter Femap (Siemens製)

影響バージョン: V2606.0001より古いすべてのバージョン

影響コンポーネント: BMPファイルパーシング機能（Out-of-bounds Readの脆弱性）

対策範囲: ソフトウェアパッチ適用、ネットワークアクセスの制限/分離

重要度

★★★★★

対象者

• M365管理者
• Entra管理者
• Windows管理者
• Linux管理者
• セキュリティ担当者

優先度

今すぐ対応

優先度の理由

本件は「任意のコード実行」につながる深刻な脆弱性であり、単なる情報収集ではなく、緊急度の高いパッチ適用が必要です。ベンダーが具体的な修正バージョン（V2606.0001以降）を提示しているため、利用環境の棚卸しとパッチ適用の計画立案を急ぐ必要があります。

確認手順

• 全社内のデバイス資産管理台帳から、Simcenter Femapを利用している端末・サーバーを洗い出す。
• Simcenter Femapの現在のバージョンを確認し、V2606.0001以降であるか照合する。
• 当該製品が稼働するネットワークセグメントについて、インターネットや不正アクセス元からの接続可否をレビューする。
• セキュリティ対策として、関連端末に対してサンドボックス環境での実行制限またはアクセス権限の最小化措置を確認・実施する。