Tenable ブログ
ブログ通知を受信するTenable Researchアドバイザリー:Schneider Modicon Quantum PLCにおける複数のICS脆弱性
Tenable ResearchはSchneiderのModicon Quantumプログラマブルロジックコントローラの複数の脆弱性を発見しました。Schneiderは、影響を受けたエンドユーザーに緩和策を推奨しています。
背景
Tenable ResearchはSchneider Modicon Quantumのプログラマブルロジックコントローラ(PLC)を試験した際に、複数の脆弱性を発見しました。
Modicon Quantumは、製造のような産業における複雑な工程の制御、安全性およびインフラストラクチャに使用されます。産業用制御システムには、通常、プログラマブルロジックコントローラ(PLC)と呼ばれるコンピュータが含まれています。PLCは、製造工程などを実行するバルブやポンプのアクチュエータやモーターなどの計測器に直接接続し、他のPLCおよび監視制御およびデータ収集(SCADA)デバイスと通信し、ネットワーク通信を介してローカルまたはリモートのオペレータインターフェイスに接続することも頻繁にあります。
PLCは、圧力、流量、温度、モーションコントロールなどの工程の変更を自動管理する機能を提供します。これらは、従来の機械式、空気式、電子式のコンポーネントをデジタルプログラマブルソフトウェアに置き換えたものです。
私たちが発見した脆弱性には、不正な攻撃者が正当なアカウントを削除し、管理者アカウントのパスワードを変更することを許可する、認証されていないリモート実行の脆弱性が含まれ、攻撃者は完全な管理者アクセスを得ることができます。
分析
私たちの研究では、140 NOC77101イーサネット通信モジュールを備えたSchneider Modicon Quantum PLCに焦点を当てました。
最初に発見した2つの脆弱性を悪用すると、認証されていない攻撃者はPLCの内蔵Webサーバーを介してユーザーアカウントを操作し、管理者パスワードを含むユーザーパスワードを変更できます(CVE-2018-7811)。Webサーバーのユーザー名とパスワードをUSER:USERにリセットするプロセスで、Webインターフェイスの既存の管理者ユーザー名とパスワードを削除することもできます(CVE-2018-7809)。
また、クロスサイトスクリプティング攻撃を可能にする2つのWebアプリケーションの脆弱性も発見されました。クロスサイトスクリプティング (XSS)攻撃では、悪質なコードは、他に良性で信頼できるウェブサイトやURLに注入されます。攻撃者はWebアプリケーションを使用して、通常はブラウザサイドスクリプトの形で悪意あるコードを別のエンドユーザに送信します。脆弱性の1つには、クロスサイトスクリプティングの脆弱性が反映されています(CVE-2018-7810)。攻撃者は "name"パラメータにJavascriptを挿入し、クライアントが作成されたリンクをクリックすると実行されます。
2番目のWebアプリケーションの脆弱性は、クロスサイトリクエストフォージェリ (CSRF)です(CVE-2018-7831)。攻撃者は、認証された被害者にリンクを送信することを偽造することができます。クリックすると、被害者のパスワードは攻撃者が選択したパスワードに変更されます。
最後に、2つのサービス拒否(DoS)脆弱性も発見されました。DoSの脆弱性の1つは、Webサーバーに細工された要求を送信することによってトリガーされ、約1分間Webサーバーがアクセス不能になります(CVE-2018-7830)。その他のDoSの脆弱性は、Schneider Modbusの機能に影響を与え、通信モジュールが完全にシャットダウンされる可能性があります。
技術的な詳細については、アドバイザリーをご覧ください。
事業影響度
ICSおよびSCADA環境でこれらのデバイスを使用する組織には、健康、安全、環境の保護と、最も重要なビジネスプロセスの保護という2つの重要な優先事項があります。PLCのようなハードウェアに脆弱性があると、これらの優先順位が互いに打ち消し合う可能性があります。 これらのデバイスはクリティカルな制御機能を提供し、パッチが提供された場合でも、パッチ適用のためにオフラインにすることはできません。
組織は、OT資産を把握し、リスクを軽減するための強力な管理策を講じる必要があります。これらのデバイスの耐用年数は数十年とされていますが、コスト上昇のために、耐用年数は延長されています。つまり、組織は機密性の高い環境で長期にわたって脆弱なデバイスを使用している可能性があり、可視性と緩和を優先する必要があります。
ソリューション
Schneiderは、これらの脆弱性に対してセキュリティ通知を発表しました。Quantum製品ラインは間もなく終了されるため、ソフトウェアの更新プログラムはリリースされません。Schneiderは、影響を受けるエンドユーザーをこれらの脆弱性から守るために、標準的な緩和策を含む一連の推奨事項を提供しています。緩和策の概要は、セキュリティ通知に記載されています。推薦事項には以下が含まれています。
- デフォルトで、Webサーバーを無効にする
- アクセス制御リストを設定して、許可されたIPアドレスへのWebサーバーアクセスを制限する
- ネットワーク、産業、およびアプリケーションのファイアウォールでModicon製品へのアクセスを保護する
影響を受けているシステムの特定
影響を受ける製品には、Modicon M340全体、Premium、Quantum PLC、BMXNOR0200が含まれています。Tenableは、CVE-2018-7831を検出するためのNessusプラグインをリリースしました。こちらからご覧いただけます。
追加情報
- Tenable Tech BlogからJacob Bainesと彼のチームによるSchneider Modicon Quantum PLCの脆弱性の発見についての詳細をご覧ください。
- Schneiderセキュリティ通知
- Tenable Researchアドバイザリー
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
- Vulnerability Management