Honeywellは最近、同社のExperion Process Knowledge System（PKS）産業用プロセス制御および自動化ソリューションに存在する複数の脆弱性に対してパッチを適用しました。
これらの脆弱性の存在は、米国サイバーセキュリティ庁（CISA）によって明らかにされ、同庁は先週勧告を発表しました。
この勧告によると、Honeywell Experion PKS製品（R520.2 TCU9 Hot Fix 1およびR530 TCU3 Hot Fix 1より前のリリース）は、6件の脆弱性の影響を受けており、その中には「クリティカル」および「高深刻度」に分類されるものも含まれています。
クリティカルおよび高深刻度の脆弱性の大半はControl Data Access（CDA）コンポーネントに影響し、リモートでのコード実行につながる可能性があります。
高深刻度の脆弱性2件はDoS攻撃に悪用される可能性があり、「中程度の深刻度」と評価された脆弱性は通信チャネルの操作やシステムの誤動作を引き起こすために利用される可能性があります。
CISAは、影響を受ける製品が世界中で使用されており、重要製造業、化学、エネルギー、水道、医療などの重要インフラ分野でも利用されていると指摘しています。
「当社はセキュリティ上の懸念を最重要視し、問題の評価と修正に迅速に対応しています」とHoneywellはSecurityWeekへのメール声明で述べています。「これらの脆弱性の発見を受け、Experion PKS製品（C300 PCNT02、C300 PCNT05、EHB、EHPM、ELMM、Classic ENIM、ETN、FIM4、FIM8、UOC、CN100、HCA、C300PM、PGM、RFIM、C200E）およびOneWireless WDMをアップデートしました。すべてのユーザーは、セキュリティ強化のため、セキュリティ通知で指定したバージョンへのシステムアップデートが不可欠です。」
ロシアのサイバーセキュリティ企業Positive Technologiesが、これらの脆弱性をHoneywellに報告したと評価されています。
広告。スクロールして続きをお読みください。
Positive Technologiesの産業用制御システム（ICS）部門を率いるDmitry Sklyar氏は、SecurityWeekに対し、これらの脆弱性はフィールドレベルのネットワークコンバータやI/Oモジュールを含むExperion PKSデバイスで発見されたと語りました。
同氏は、影響を受けるデバイスは通常、隔離されたネットワークセグメントの産業施設で使用されているため、インターネット経由でリモートから悪用される可能性は低いと指摘しました。
「脆弱性は、識別および認証機能を欠いたネットワークプロトコルハンドラで発見されました。そのため、悪用の唯一の前提条件は隔離されたセグメントへのアクセスです」とSklyar氏は説明しました。
研究者によると、これらの脆弱性は侵害されたデバイス上で任意のコード実行を可能にし、「攻撃者が産業プロセスやデバイス自体を操作できる可能性があり、停止や再起動、ネットワーク設定の変更、プロセスパラメータの変更などが行われる恐れがあります。」
「このような脆弱性への対策として、脆弱性管理システムの導入を推奨します」とSklyar氏は述べています。
今月初め、Nozomi Networksは、Honeywell傘下のTridiumが開発したNiagara Frameworkで発見された十数件の脆弱性の詳細を公開しました。