産業用機器の管理ソフト「CitectSCADA」に脆弱性：サービス妨害攻撃の可能性も

日本でも導入されている産業用オートメーション装置管理ソフト「CitectSCADA」に脆弱性が見つかった。

[ITmedia]

　産業用オートメーション装置の管理に使われる統合ソフト「CitectSCADA」に脆弱性が見つかったとして、セキュリティ企業のCore Security Technologiesが6月11日、アドバイザリーを公開した。

　Core Securityによると、CitectSCADA開発元のCitectは産業オートメーションソフトのメーカー。オーストラリアを本社として日本など約20カ国に拠点を持ち、パートナーを通じて80カ国以上で製品を提供している。航空・防衛、石油、電力・公益など幅広い業界で同社製品が使われている。

　CitectSCADAの脆弱性は、悪用されるとリモートの認証を受けない攻撃者がサービス妨害（DoS）攻撃を仕掛けてソフトを異常終了させたり、任意のコードを実行してソフトを完全制御することが可能になるという。

　SANS Internet Storm Centerによれば、脆弱性はCitectSCADAとCitectFacilitiesの最新版に存在する。Citectはパッチを公開して脆弱性に対処したと報じられている。

　Core SecurityやSANSによれば、プロセスコントロールネットワークは一般的に、会社のネットワークやインターネットに接続せず、隔離されたネットワークで運用することが望ましい。隔離されていない場合でも、攻撃を仕掛けるためにはTCPポートに接続する必要があり、ファイアウォールやACLでも防御できるとしている。

過去のセキュリティニュース一覧はこちら