コグネックスが製造する一部の産業用カメラには、重大な脆弱性が存在しますが、これらに対するパッチは提供されません。
サイバーセキュリティ機関のCISAは、9月18日に公開したアドバイザリで、In-Sight製品に影響を及ぼすこれらの脆弱性について組織に通知しました。
コグネックスはアメリカに本社を置く企業で、産業施設向けのマシンビジョンやバーコードスキャナーのソリューションを設計・製造しています。同社の産業用カメラは、生産ライン上のロボットの誘導、品質検査、物品の追跡などに使用されています。
CISAは、同社のソリューションが世界中で利用されており、重要インフラ分野に指定されている重要製造業でも使用されていると指摘しています。
これらの脆弱性を発見した産業用サイバーセキュリティ企業Nozomi Networksは、今週追加情報を公開しました。
In-Sight 2000、7000、8000、9000ビジョンシステムおよびデバイスへのアクセスインターフェースを提供するIn-Sight Explorerクライアントソフトウェアに、合計9件の脆弱性が発見されています。NozomiはCognex IS2000M-120カメラでテストを実施しました。
脆弱性の内容には、ハードコードされたパスワード、機密情報の平文送信、不適切なデフォルト権限、DoS、権限昇格、認証バイパスの脆弱性などが含まれています。大半は「高い深刻度」と評価されています。
これらの脆弱なカメラは通常クローズドな環境で使用されているため、インターネット経由で直接悪用されることはありません。しかし、コグネックス製カメラが設置されているネットワークにアクセスできる攻撃者は、これらの脆弱性を利用してカメラや関連システムをハッキングすることが可能です。
広告。スクロールして続きをお読みください。
Nozomiは、これらの脆弱性を利用した3つの理論的な攻撃シナリオを説明しています。1つ目のシナリオでは、カメラが設置されたネットワークセグメントにアクセスできる認証されていない攻撃者が、中間者（MitM）攻撃を実行し、2つの脆弱性を悪用してユーザーの認証情報を傍受・復号化できます。攻撃者はその認証情報を使ってシステムにアクセス可能となります。
セキュリティ企業が説明する2つ目のシナリオでは、低権限の攻撃者が1つの脆弱性を悪用して管理者権限を取得できます。
3つ目の攻撃シナリオでは、In-Sight Explorerをホストするエンジニアリングワークステーションにアクセスできる低権限の攻撃者が、1つの脆弱性を利用して大きな障害を引き起こすことができます。
CISAおよびNozomiは、コグネックスがパッチをリリースしない方針であることを示しました。これは、脆弱性が新しい用途には使用されないレガシー製品に影響するためだとしています。ベンダーは、より新しいIn-Sight 2800、3800、8900シリーズへの移行を推奨しています。
Nozomiは、影響を受けるカメラが依然として広く使用されていることを指摘しています。すぐに脆弱な製品を交換できない組織（産業環境でのシステム交換は多くの場合容易ではありません）は、リスクを軽減するための対策を講じることができます。
NozomiおよびCISAが推奨する対策には、ネットワークの露出制限、制御ネットワークの分離および業務ネットワークからの隔離、リモートアクセスが必要な場合のVPN利用などが含まれます。さらに、こうした攻撃を検知・遮断できる専門のサイバーセキュリティ製品の利用も推奨されています。
