米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は3月8日(米国時間)、産業用制御システム向けのセキュリティアドバイザリ「PTC Axeda agent and Axeda Desktop Server｜CISA」において、PTCが提供するIoT/M2M基盤クラウド「PTC Axeda」のコンポーネントである「Axeda agent」「Axeda Desktop Server」に脆弱性が存在すると伝えた。

これら脆弱性を悪用されると、影響を受けたシステムの制御権が乗っ取られる危険性があるほか、リモートコード実行、設定の変更、ファイルシステムへのアクセス、ログ情報へのアクセス、サービス運用妨害(DoS: Denial of Service)などを実施される危険性があるとされている。

脆弱性の詳細は次のページにまとまっている。

  • CS363561 - Security vulnerabilities identified in the Axeda agent and Axeda Desktop Server

    CS363561 - Security vulnerabilities identified in the Axeda agent and Axeda Desktop Server

脆弱性が存在するとされるプロダクトは次のとおり。

  • Axeda agent
  • Axeda Desktop Server

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

  • Axeda agent Version 6.9.2 build 1049
  • Axeda agent Version 6.9.3 build 1051
  • Axeda Desktop Server (ADS) Version 6.9 build 215

この脆弱性を悪用したサイバー攻撃手法はすでに「Access:7」として詳細が明らかにされている点に注意が必要。医療機器、ATM、金融関係システム、産業機器、SCADAシステム、自動販売機、バーコードスキャンシステム、IoTゲートウェアなどさまざまなデバイスが影響を受けると見られている。メーカーが提供する情報などを参照するなどして、脆弱性の有無を確認して必要な対処を取ることが望まれる。

産業用制御システムは運用が始まると、セキュリティアップデートが適用されないまま運用が続けられることがある。こうしたシステムはサイバー犯罪者にとって格好の標的となることがわかっている。該当する製品を使用している場合は迅速にアップデートや回避策、対策の適用などを取ることが望まれる。