CODESYS SDK に 16件の深刻な脆弱性：OT 環境がリモート攻撃にさらされる

16 New CODESYS SDK Flaws Expose OT Environments to Remote Attacks

2023/08/11 TheHackerNews — CODESYS V3 SDK (Software Development Kit) に存在する、16件の深刻なセキュリティ脆弱性が公開された。これらの脆弱性が悪用されると、特定の条件下でのリモート・コード実行やサービス拒否が引き起こされ、OT 環境にリスクをもたらす可能性が生じる。これらの脆弱性は CoDe16 と命名され、CVE-2022-47378〜CVE-2022-47393 (CVSS：7.5〜8.8) として追跡されている。このうちの 12件は、バッファ・オーバーフローの脆弱性に分類されている。

Microsoft Threat Intelligence Community の Vladimir Tokarev は、「発見された脆弱性は、CODESYS V3 3.5.19.0 以下の全てのバージョンに影響し、OT インフラを RCE (Remote Code Rxecution)／DoS (Denial of Service) などの攻撃の危険にさらす可能性がある」とレポートで述べている。これらの脆弱性を悪用するには、ユーザー認証と CODESYS V3 の独自プロトコルに関する深い知識が必要だが、この問題は、重要なオートメーション・プロセスの悪意のシャットダウンや改ざんにつながる、深刻な影響を及ぼす可能性があるという。

特に RCE の脆弱性は、OT デバイスのバックドアに悪用され、情報窃取の経路を開く可能性があるため、PLC (Programmable Logic Controller) 機能が妨害されることにもなり得る。

Tokarev は、「この脆弱性を悪用するには、ユーザー認証のほか、PLC で使用されている DEP (Data Execution Prevention) と ASLR (Address Space Layout Randomization) をバイパスする必要がある」と説明している。

その攻撃チェーンは、ユーザー認証という障壁を突破するために、既知の脆弱性 CVE-2019-9013 (CVSS：8.8) を使用して、PLC に対するリプレイ攻撃で認証情報を盗み出し、その後に、脆弱性を悪用してバッファ・オーバーフローを引き起こし、デバイスの制御権を取得するというものだ。

これらの脆弱性に対するパッチは、2023年 4月にリリースされている。それぞれの脆弱性の概要は以下の通りだ。

• CVE-2022-47378 – 認証に成功した後、内容に一貫性のない特定の細工を施された通信要求により、 CmpFiletransfer コンポーネントが無効なアドレスから内部的に読み込まれる可能性があり、 DoS 状態に陥る可能性がある。
• CVE-2022-47379 – 認証に成功した後、特定の細工された通信要求により、CmpApp コンポーネントが攻撃者が制御するデータをメモリに書き込む可能性があり、DoS 状態／メモリの上書き／RCE につながる可能性がある。
• CVE-2022-47380／CVE-2022-47381 – 認証に成功した後、特定の細工された通信要求し、CmpApp コンポーネントが攻撃者が制御するデータをスタックに書き込むことにより、Dos 状態／メモリの上書き／RCE につながる可能性がある。
• CVE-2022-47382／CVE-2022-47383／CVE-2022-47384／CVE-2022-47386／CVE-2022-47387／CVE-2022-47388／CVE-2022-47389／CVE-2022-47390 – 認証に成功した後、特定の細工された通信要求により、 CmpTraceMgr コンポーネントが攻撃者が制御するデータをスタックに書き込む可能性があり、 Dos 状態／メモリの上書き／RCE などにつながる可能性がある。
• CVE-2022-47385 – 認証に成功した後、特定の細工された通信要求により、CmpAppForce コンポーネントが攻撃者が制御するデータをスタックに書き込むことにより、Dos 状態／メモリの上書き／RCE などにつながる可能性がある。
• CVE-2022-47391 – 巧妙な通信要求により、影響を受ける製品が無効なアドレスから内部的に読み込む可能性があり、DoS 状態に陥る可能性がある。
• CVE-2022-47392 – 認証に成功した後、内容が一貫していない特定の細工された通信要求により、CmpApp／CmpAppBP／CmpAppForce コンポーネントが無効なアドレスから内部的に読み取られ、DoS 状態に陥る可能性がある。
• CVE-2022-47393 – 認証に成功した後、特定の細工を施した通信要求により、CmpFiletransferコンポーネントが、内部読み取りアクセスの要求により提供されたアドレスを再参照し、DoS 状態になる可能性がある。

Tokarev は、「CODESYS は多くのベンダーにより使用されているため、１つの脆弱性が、複数の脆弱性はおろか、多くのセクター／デバイス・タイプ／業種などに影響を及ぼす可能性がある。脅威アクターは、CODESYS の脆弱なバージョンを使用しているデバイスに対して DoS 攻撃を仕掛け、産業オペレーションを停止させ、RCE 脆弱性を悪用してバックドアを展開し、機密データの窃取やオペレーションの改ざんなどを行い、PLC を危険な方法で動作させることができる」と述べている。

以前にも CODESYS の脆弱性に関する記事があったと思い、調べてみたら 2021/07/21 の「産業用自動化ソフトウェア CODESYS に深刻な脆弱性が見つかる」が見つかりました。社会インフラや製造業のシステムで、広範に利用されていることを考えると、とても心配な状況と言えるでしょう。Microsoft が、いい仕事をしていますね。