#971 GT Designer3 に情報漏えいの脆弱性

今回のセキュラジでは、産業用制御システムで使われるGT Designer3というソフトウェアに発見された情報漏えいの脆弱性について解説します。この脆弱性では、認証情報が暗号化されずに保存されており、攻撃者がシステムを不正に操作する可能性が指摘されています。対策版がリリースされない場合の軽減策もご紹介しますので、皆さんの会社でのセキュリティ対策を考えるヒントにしてくださいね。

今回の記事は、三菱電機が提供する産業用ソフトウェア「GT Designer3」に存在する情報漏えいの脆弱性についてです。このソフトウェアは、工場などで使われる産業用表示器、GOTシリーズのプロジェクトデータを作成・編集するのに使われます。問題は、このプロジェクトデータ内に重要な認証情報が平文、つまり暗号化されていない状態で保存されていることです。
この脆弱性が悪用されると、攻撃者はGT Designer3のプロジェクトデータから簡単に認証情報を盗み出すことができ、それを使ってGOT2000やGOT1000といった産業用表示器を不正に操作する可能性があります。工場やインフラ施設にとっては非常に危険な状況です。
残念ながら、この脆弱性に対する対策版のリリース予定はなく、三菱電機からはいくつかの軽減策が推奨されています。具体的には、該当製品を使うPCを信頼できるネットワーク内でのみ利用すること、インターネット接続時にはファイアウォールやVPNで防御すること、物理的なアクセス制限、ウイルス対策ソフトの導入、そして信頼できないファイルやリンクを開かないといった運用上の注意喚起がされています。

GT Designer3は工場などで使われる機械を操作するための表示器、例えばタッチパネルの画面デザインや動作を設定する、いわば「産業機械の操作盤設計ソフト」のようなものです。普段私たちが使うパソコンで例えるなら、ウェブサイトを作成するソフトウェアや、特別なデザインソフトに少し似ています。産業機械を動かすための指示を視覚的に表現する重要なツールなんですよ。

平文で保存されているということは、パスワードなどの認証情報が、まるでメモ帳にそのまま書き記されているような状態だと思ってください。もしこのプロジェクトデータが何らかの形で攻撃者の手に渡ってしまったら、特別な技術を使わなくても、認証情報を簡単に見つけ出して盗み出すことができます。これにより、攻撃者は工場などの産業用機械を遠隔で不正に操作したり、停止させたりする可能性があり、生産ラインの停止や大きな事故にもつながりかねません。

産業用制御システムの世界では、ソフトウェアのアップデートが難しい場合が少なくありません。多くのシステムが長期間安定稼働することを前提としており、安易なアップデートが既存の設備に予期せぬ影響を与えたり、生産ラインを停止させたりするリスクがあるためです。そのため、今回は根本的な対策版ではなく、周辺環境を強化することでリスクを軽減する、というアプローチが取られています。改善がないわけではなく、運用でカバーする対策が重要になります。

まず、該当製品をインストールしているパソコンは、インターネットに直接接続しないようにし、もし接続が必要な場合は必ずファイアウォールやVPNで保護しましょう。また、不要なファイルを開いたり、不審なリンクをクリックしないように気をつけるのは、どのパソコンでも共通の基本的なセキュリティ対策です。物理的なアクセス制限、つまりパソコンが置いてある部屋への入退室管理も、情報漏えいを防ぐ上で非常に有効な対策の一つですよ。

私たちが学ぶべきは、ソフトウェア自体の脆弱性だけでなく、そのソフトウェアが使われる「環境」全体のセキュリティを考える重要性です。今回のケースでは、ソフトに脆弱性があっても、ネットワークを適切に分離したり、物理的なアクセスを制限したり、そして何よりも利用者が不審な操作をしないといった多層的な対策でリスクを大幅に減らせます。単一の対策に頼らず、包括的な視点でセキュリティに取り組むことが大切だと教えてくれていますね。