Copeland E2、E3コントローラーの管理者に対し、侵害される前にデバイスのパッチ適用を推奨
専門家は長年にわたり、インターネットに接続された運用技術（OT）デバイスにはネットワーク侵害につながる深刻な脆弱性が存在する可能性があるとITリーダーに警告してきました。火曜日、セキュリティ企業が、暖房、冷房、冷蔵システムメーカーであるCopeland LPのコントローラーに10件の脆弱性を発見したことを公表しました。これらの脆弱性により、脅威アクターが機器を無効化したり、リモートで制御したりすることが可能となり、製品の損傷や人身事故につながる恐れがあります。
Armisは、CopelandのE2およびE3コントローラーの脆弱性を「Frostbyte10」と呼んでいます。同社のレポートは、Copelandが問題を修正したデバイス向けのファームウェアバージョン2.31F01をリリースした後に発表されており、CSOは速やかにインストールされていることを確認すべきです。
Armisによると、これらの脆弱性は「小売インフラプロバイダーを妨害またはランサムウェア攻撃することを狙う攻撃者にとって、高価値な標的となり得る」としています。
ゼロトラストへの移行
「発見された欠陥により、不正なアクターがパラメータをリモートで操作したり、システムを無効化したり、リモートコードを実行したり、機密性の高い運用データへの不正アクセスを得たりすることが可能でした。これらの脆弱性が組み合わされて悪用された場合、認証なしでroot権限によるリモートコード実行が発生する可能性があります」とレポートは述べています。
しかし、より重要なニュースは、E3ファームウェアの1つの脆弱性の原因です。それは、「ONEDAY」というデフォルトの管理者ユーザーで、毎日生成されるパスワードが未修正システムでは脅威アクターに予測可能に生成されてしまうというものです（このバグはCVE-2025-6519として指定されています）。デフォルトの管理者ユーザーとパスワードは、あらゆるOTやITシステムの悩みの種です。CSOは最近、Brotherプリンターのデフォルトパスワード問題についても報じました。
その他のE3の脆弱性では、脅威アクターがパスワードハッシュのみを取得することで認証できたり、APIコールを通じてアプリケーションサービスの全ユーザー名とパスワードハッシュを取得できたり、特別に細工された建物のフロアプランをアップロードすることで任意のファイルにアクセスできたりします。
E2コントローラーの脆弱性は、認証なしでファイル操作が可能な独自プロトコルの使用によるものです（CVE-2025-52551）。
「OTデバイスに埋め込まれた推測可能または予測可能なパスワードは一般的です」と、カナダのインシデント対応企業Digital Defenceの責任者Robert Beggs氏はCSOへのメールで述べています。「OTデバイスの管理責任者は、セキュリティではなく、運用やサービスの信頼性に重点を置いています。その結果、しばしば安全でないOTデバイスに遭遇します。」
セキュリティを確保するためには、組織はOTデバイスの導入に際してゼロトラストアーキテクチャへ移行する必要があるとBeggs氏は述べています。これには、ユーザーの身元確認、多要素認証の強制、役割ベースのアクセス制御のサポート、すべてのデバイスアクセスの安全な監視とログ記録が含まれます。
関連記事： CISOの88%がゼロトラストの実装に苦戦
Armisのレポートについてコメントを求められたCopelandは、CSOに声明を送り、同社の製品および顧客アプリケーションの品質とセキュリティの保護が「最優先事項です」と述べました。「当社のE2およびE3コントローラーは、20年以上にわたり、数百社および食品小売、冷蔵、工業プロセス、冷凍保管などの重要な産業で信頼性の高いサービスを提供してきました。当社は、サイバーセキュリティ環境や脅威が進化・拡大し続ける中、製品の継続的な改善と業界全体の標準向上のため、グローバルなサイバーセキュリティコミュニティと積極的に協力しています」と同社は述べました。
「E2およびE3の潜在的な脆弱性について通知を受けた際、Copelandのエンジニアは直ちに対応し、潜在的な問題に迅速に対処し、すべての影響を受ける可能性のある顧客と透明性のあるコミュニケーションを維持しながら、顧客のシステムの安全性を確保しました」とCopelandは続けています。「現時点で、これらの潜在的な脆弱性の悪用は確認されていません。継続的なセキュリティのため、利用可能なパッチを速やかに適用することを強く推奨します。」
「想定される欠点」
E2ファシリティマネジメントシステムは、コンプレッサーグループ、コンデンサー、ウォークイン、HVACユニット、照明など、建物および冷蔵システムの完全な制御を提供するよう設計されていますとCopelandは述べています。
新しいE3システムは、ウェブアクセス可能なインターフェースとCopelandの監視制御ソフトウェアとの統合を備えたタッチスクリーンディスプレイを内蔵しています。E3システムは2024年10月にサポート終了となったE2の後継です。しかし、一部の組織では依然としてE2システムが使用されており、E2コントローラーで認証のない独自プロトコルが使用されているため、身元確認や暗号化なしで機密操作が可能となっています。「これらは単なるコーディングミスではなく、OT環境に何年も残り続ける構造的リスクを示しています」とArmisは述べています。
Armisの調査結果は珍しいものではないとBeggs氏は述べています。「実際、これらは『想定される欠点』の範疇に入るかもしれません。ごく最近まで、[OT]デバイスは機能するかどうか、期待される作業をこなすかどうかだけで評価されていました。安全な機能を提供することは期待されておらず、安全でないデバイスに対する報酬や罰則もありませんでした。」
安全なOTデバイスを求める
このため、Beggs氏は「組織が安全なデバイスを要求しなければ、ベンダーは提供しない」と警告しています。
関連記事： OTセキュリティの未来を切り拓く
最近、OTサイバーセキュリティには変化が見られると彼は付け加えました。顧客がインターネット接続デバイスに関連するセキュリティリスクを認識し始めているからです。しかし、彼は、こうした意識の変化はOTデバイスの調達や管理方法の実質的な変化と一致しなければならないと述べました。
まず、彼は、安全な運用に対する要件や顧客からの要求が必要だと述べました。次に、ITとOTの管理の分断を解消する必要があります。「有線・無線ネットワークのペネトレーションテストを依頼され、OTデバイスは別部門が管理しているから無視するように言われるのはごく普通のことです」と彼は述べました。
ネットワークツール（サイバーセキュリティインテリジェンス、自動インベントリ、セキュリティ設定と管理、パッチ適用、レポート）は、より一般的なITネットワークだけでなくOTネットワークも対象にする必要があるとBeggs氏は強調しました。また、インシデント対応プロセスもOTネットワークを包含しなければなりません。
「現状では、OTネットワークはITネットワークとは大きく異なる扱いを受けており、セキュリティプロセスはまれです」と彼は述べました。「存在する場合も、通常はITネットワークで提供されているものの複製であり、管理コストと複雑さを増大させています。『大きな分断』を克服することで、すべてのユーザーにとってコストと潜在的な責任を減らすことができます。」
ニュースレターを購読する
編集部からあなたの受信箱へ
下記にメールアドレスを入力して開始してください。