執行サマリー - CVSS v3 評価: 4.4 - 重要度: 低いスキルの攻撃者がこの脆弱性を悪用可能 - ベンダー: Delta Electronics (Delta) - 機器: Delta Industrial Automation CNCSoft - 脆弱性: バッファオーバーリード（越界読み取り） リスク評価 - この脆弱性を正常に利用すると、バッファオーバーフローが発生し、情報漏洩やアプリケーションのクラッシュにつながる可能性があります。 技術詳細 - 対象製品 - Delta Industrial Automation CNCSoft の以下のバージョンが影響を受けます: CNCSoft ScreenEditor Version 1.00.84 及びそれ以前のバージョン。 - 脆弱性の概要 - 越界読み取り CWE-125 - プロジェクトファイルの処理時にユーザー入力の検証が不足しているため、ソフトウェアのクラッシュを招く可能性のある越界読み取りの脆弱性です。 - この脆弱性の CVE 番号は CVE-2019-6547 で、CVSS v3 評価は 4.4、CVSS ベクトルは (AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L) です。 - 背景 - 重要インフラ部門: 製造業 - 展開国/地域: グローバル - 本社所在地: 台湾 リサーチャー - Natnael Samson (@NattiSamson) は、Trend Micro のゼロデイイニシアチブ（ZDI）と連携し、この脆弱性を NCCIC に報告しました。 軽減策 - Delta の推奨事項: - CNCSoft v1.01.15 の最新バージョンにアップデートしてください。最新バージョンはこちらで入手できます。 - アプリケーションとのインタラクションを信頼できるファイルに制限してください。 - NCCIC は、ユーザーがこの脆弱性の悪用リスクを最小限に抑えるために防御措置を講じることを推奨しています。 - すべての制御システム機器および/またはシステムのネットワーク公開を最小限に抑え、インターネットからアクセスできないことを確認してください。制御システムネットワークおよびリモートデバイスをファイアウォールの背後に配置し、業務ネットワークから分離してください。リモートアクセスが必要な場合は、仮想プライベートネットワーク（VPN）などの安全な方法を使用してください。また、VPN 自体にも脆弱性がある可能性があり、最新バージョンにアップデートする必要があること、ならびに VPN のセキュリティは接続される機器のセキュリティに依存すること（等しいこと）に注意してください。 - NCCIC は、組織が防御措置を実装する前に、適切な影響分析およびリスク評価を実行するよう提醒しています。 - NCCIC は、ICS-CERT ウェブページ上で制御システムのセキュリティ推奨事項も提供しています。読取およびダウンロード可能な推奨記事がいくつかあり、その中にはディフェンス・イン・デプス戦略による産業用制御システムのサイバーセキュリティの改善が含まれます。 - 技術情報ファイルには、追加の脆弱性軽減ガイドラインおよび推奨事項が含まれています。例えば、ICS-TIP-12-146-01B--標的型ネットワーク侵入の検出および軽減戦略があります。 悪意のある活動の報告 - 疑わしい悪意のある活動を確認した組織は、確立された内部手順に従い、追跡および他の事案との関連付けを行うために、発見を NCCIC に報告してください。 ソーシャルエンジニアリング攻撃からの防護 - NCCIC はまた、ユーザーがソーシャルエンジニアリング攻撃から身を守るための以下の措置を講じることを推奨しています: - メール内のウェブリンクをクリックしたり、要求されていない添付ファイルを開いたりしないでください。 - 電子メール詐欺の認識と回避を参照し、電子メール詐欺を回避する方法についてさらに情報を得てください。 - ソーシャルエンジニアリングおよびフィッシング攻撃の回避を参照し、ソーシャルエンジニアリング攻撃についてさらに情報を得てください。 - この脆弱性に対する既知の公開利用は存在しません。この脆弱性はリモートから悪用できません。