新たなセキュリティ調査により、米国データセンター周辺でインターネットに露出しているビルディングオートメーション機器548台が、今後セキュリティパッチの提供を受けられないサポート終了(EOL)製品を稼働させていることが判明しました。
対象となった機器は、Tridium NiagaraAX 3.x、Trane Tracer SC、Carrier WebCTRLバージョン7.0という3つのレガシー製品ラインに属しています。
これらのプラットフォームは、HVAC(空調)、冷却、電力監視、環境制御といったシステムの管理に使用されています。データセンターにおいて、これらのシステムが侵害されれば、サーバーの稼働を支える物理インフラに影響が及ぶ可能性があります。
今回の調査結果は、米国内1,000カ所以上のデータセンター拠点周辺にある産業制御システム(ICS)およびビルディングオートメーションシステム(BAS)機器を対象とした、より広範なスキャンから得られたものです。
研究者らは、BACnetコントローラー、Niagaraプラットフォーム、プログラマブルロジックコントローラー(PLC)、電力管理インターフェースを含む、インターネットからアクセス可能な信頼度の高い機器6,300台を特定しました。
主な露出ポイントはビルディングオートメーションでした。調査結果のうちBACnet機器が58%を占め、Fox/Niagaraシステムが23%を占めています。
この2つの技術で、データセット内の露出システム全体の81%を占める結果となりました。これらのプロトコルは主に信頼された内部ネットワーク向けに設計されており、最新の認証・暗号化による保護が欠けていることが多いのが実情です。
サポート終了製品は深刻なセキュリティ問題を引き起こします。新たな脆弱性が発見されても、組織はベンダーによるパッチ提供を期待できないためです。
今回の調査では、10のベンダープラットフォームにまたがる53件のCVEがマッピングされており、そのうちCVSSスコア9.8以上の脆弱性が7件含まれています。
重大な調査結果の一つが、NiagaraAX機器434台に関するものです。NiagaraAXはTridiumのレガシープラットフォームで、既にサポートが終了しています。
報告書によると、これらのシステムはディレクトリトラバーサルやリモートコード実行を可能にする脆弱性CVE-2012-4701の影響を受ける可能性があります。
Trane Tracer SC機器についてもサポート終了が確認されており、CVSSスコア9.9の認証済みリモートコード実行の問題であるCVE-2021-38450との関連が指摘されています。
Carrier WebCTRL 7.0機器も懸念材料の一つです。今回の調査では、サポート対象外のこのバージョンを使用する機器が64台特定されており、CVE-2024-8525の影響を受けます。
この脆弱性のCVSSスコアは10.0で、ファイルアップロードを通じて認証なしでリモートコード実行が可能になるおそれがあります。
より広範なデータセットには、Delta ControlsのenteliBUSコントローラー237台も含まれており、細工されたBACnetトラフィックを利用した認証なしのリモートコード実行の脆弱性であるCVE-2019-9569の影響を受けます。
パッチは何年も前から提供されているにもかかわらず、露出した機器が今なお存在し続けている事実は、OTおよびBASにおけるパッチ管理の難しさを物語っています。
通常のITシステムとは異なり、ビルディングオートメーションコントローラーは物理プロセスに直接影響を及ぼす可能性があります。
BAS機器が侵害されると、攻撃者が温度や湿度の設定を変更したり、冷却機器を停止させたり、アラームを妨害したり、施設担当者をロックアウトしたりする可能性がある、とtrendaisecurity社は述べています。
これは、冷却系統の故障が短時間で温度警告やサービス中断につながりかねないデータセンターにとって、重大なリスクとなります。
VertivやLiebertといったベンダーのシステムは特に重要です。これらは精密冷却、無停電電源装置(UPS)の管理、電力分配のために設計されているためです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/548-building-devices-unpatched/
