Siemens SICAM 製品に深刻な脆弱性が FIX：重要インフラへの攻撃の恐れ

Siemens SICAM Products Vulnerable to Critical Flaws, Urgent Update Needed

2024/07/24 SecurityOnline — Siemens が発表したセキュリティ・アドバイザリは、複数の SICAM 製品の存在する、不正アクセスやデータ漏洩につながる深刻な脆弱性について、ユーザーに警告するものだ。影響を受ける製品には、SICAM A8000 RTU／SICAM EGS／SICAM 8 Power オートメーション・プラットフォームが含まれる。


脆弱性 CVE-2024-37998／CVE-2024-39601 は、これらの製品のファームウェアに影響を及ぼすものだ。１つ目の脆弱性 CVE-2024-37998 は、カレントの管理者パスワードを知らない攻撃者であっても、そのパスワードのリセットを可能にすえるものであり、影響を受けるデバイスが乗っ取られる可能性が生じる。２つ目の脆弱性 CVE-2024-39601 は、ファームウェアのダウングレードを可能にするものであり、対象デバイスが過去の脆弱性にさらされる可能性をもたらす。

それぞれの脆弱性の深刻度は、CVE-2024-37998 (CVSSS 9.3：Critical) と、CVE-2024-39601 (CVSS 7.1：High) である。これらの脆弱性の複合的に悪用された場合の影響は極めて深刻であり、重要なインフラの破壊／機密データの搾取／物理的な損害などにいたる恐れがある。

重要インフラへの影響

SICAM 製品ラインは、電力自動化／制御システムなどで重要な役割を担っているため、特にエネルギー・プロバイダーや産業施設にとって、これらの脆弱性は懸念すべきものとなる。つまり、悪用による攻撃が成功すると、広範囲に及ぶ停電／生産停止などの加えて、安全上の危険につながる可能性がある。

Siemens の対応と推奨事項

すでに Siemens は、影響を受ける製品に対する最新のファームウェアをリリースしており、最新バージョンへの迅速なアップデートをユーザーに強く推奨している。さらに同社は、CVE-2024-37998 の回避策として、自動ログイン機能の無効化を提案している。

これらの具体的な推奨事項に加え、強固なパスワードの使用／ファームウェアの定期的な更新／ネットワークのセグメンテーションの実施など、一般的なセキュリティのベスト・プラクティスに従うよう、Siemens はユーザーに対して呼びかけている。

Siemens の SICAM に深刻な脆弱性とのことです。同社のアドバイザリには、影響を受ける製品群として、以下が列挙されていました。ご利用のチームは、ご注意ください。よろしければ、Siemens で検索も、ご参照ください。

  • SICAM A8000 Device firmware
    • CPCI85 for CP-8031/CP-8050
  • SICAM EGS Device firmware
    • CPCI85
  • SICAM 8 Software Solution