Clarotyの研究者によって発見されたEnOceanのSmartServer IoTプラットフォームの脆弱性は、ビル管理システムを遠隔操作する目的で悪用される可能性があります。
EnOcean SmartServerは、産業用デバイスをクラウドベースの管理プラットフォームに接続することによってビルオートメーションを統一するために設計されたマルチプロトコルゲートウェイとエッジコントローラーです。このソリューションは、スマートビル、工場、データセンターに最適であると宣伝されています。
ICSおよび他のサイバー物理システムのセキュリティを専門とする企業Clarotyの研究者は、SmartServerがCVE-2026-22885として追跡されるセキュリティバイパス脆弱性およびCVE-2026-20761として追跡されるリモートコード実行欠陥の影響を受けていることを発見しました。
これらの脆弱性は、インターネット公開EnOceanデバイスに対するリモート攻撃者によって悪用され、メモリ保護をバイパスし、メモリをリークし、任意のコマンドを実行することができます。
「パケット入力の不適切な検証を悪用することで、攻撃者はデバイスの組み込みシステムコールに渡される引数を制御でき、Linuxベースのデバイスの完全な乗っ取りを実現し、ルート権限と任意のコード実行を取得できます」とClarotyは説明しました。
実際の環境では、脅威アクターはビル管理と自動化システムを制御できる可能性があります。
翻訳元: https://www.securityweek.com/enocean-smartserver-flaws-expose-buildings-to-remote-hacking/
