三菱電機のSCADAソフト「GENESIS64」「MC Works64」に複数の脆弱性が見つかる

こちらの記事は、下記記事を参考に作成しています。
参考記事：Mapionニュース｜三菱電機のSCADAソフト「GENESIS64」「MC Works64」に複数の脆弱性（https://www.mapion.co.jp/news/column/cobs2357085-1-all/）

GENESIS64について

GENESIS64とは、FAとITのデータを一元的に管理できる統合監視システムソフトウェア。このシステムを導入することにより生産現場の装置や機会などに関する情報を収集・分析することが可能。その上で2Dや3Dのグラフィックなどによってデータの見える化を図ることができるシステムです。

MC Works64について

MC Works64は、製造や生産工程における高度な統合監視システムの構築に貢献するソフトウェアです。3Dグラフィック画面による同時監視や地図データを活用した広域監視機能、CADデータとの連携を行うことによって工数の削減ができる点が特徴です。

「GENESIS64」と「MC Works64」の脆弱性について

2022年1月20日、PCERTコーディネーションセンターによりSCADAソフトウェアの「GENESIS64」と「MC Works64」に複数の脆弱性が報告されていると伝えられています。今回報告された脆弱性は4件となっていますが、悪用された場合にはシステムの不正操作やサービス運用妨害（DoS）攻撃のほか、データベースへの不正アクセス、認証回避といったものを実行される可能性があります。

今回報告された脆弱性は下記の通りとなっています。どのバージョンが影響を受けるかという点についても記載します。

• CVE-2022-23130：バッファオーバーリード
  （GENESIS64 Version 10.97、MC Works64 Version 4.00Aから4.04E）
• CVE-2022-23128：不完全なブラックリスト
  （GENESIS64 Version 10.97、MC Works64 Version 4.00Aから4.04E）
• CVE-2022-23129：認証情報の平文保存
  （GENESIS64 Version 10.97、MC Works64 Version 4.04Eおよびそれ以前のすべてのバージョン）
• CVE-2022-23127：反射型クロスサイトスクリプティング
  （MC Works64 Version 4.04Eおよびそれ以前のすべてのバージョン）

また、三菱電機から上記のそれぞれの脆弱性についてアナウンスが公開されていますが、4件の脆弱性のうち「CVE-2022-23128」については深刻度が「緊急」と分類されていることから特に注意が必要とされています。

いずれの脆弱性についても、開発元からセキュリティパッチが提供されていますのでこちらを適用することにより影響の回避が可能です。また、JPCERT/CCでは、上記の通りセキュリティパッチの適用により対応するまたは、指定されたワークアラウンドの実行によって脆弱性による影響を軽減する、ということが勧められています。

まとめ

こちらの記事では、SCADAソフトウェアの「GENESIS64」と「MC Works64」において報告された脆弱性についてご紹介しました。脆弱性に対するアナウンスを注視し、指示された対応方法をしっかりと行うことが大切です。

SCADAソフトウェアはさまざまな種類がありますが、選択する際には実際に行っている業務とソフトウェアの機能をよく比較しながら考えることが必要。自分たちの業務に合ったソフトを選んでいきましょう。

業務に適したSCADAソフトを比較検討する