Rockwell Multiple Products の脆弱性（CVE-2021-22681）

何が起きた

工場などで機械を動かす Rockwell Automation の制御装置（Logix コントローラー）と設計用ソフト Studio 5000 Logix Designer の間で使う確認用の鍵が、見つけ出されてしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、正規ではないアプリが確認を回り込んで、制御装置に接続できるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件で、制御装置にネットワークでつながる必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Studio 5000 Logix Designer の Versions 21 and later、RSLogix 5000 の Versions 16 through 20 と、それらとやり取りする CompactLogix、ControlLogix、DriveLogix、Compact GuardLogix、GuardLogix、SoftLogix 5800 などの制御装置を使っている工場や施設が影響を受けます。

何をすればいい

Rockwell Automation と CISA の公式の案内を確認してください。CISA の案内によると、この弱点は修正プログラムでは直せないため、制御装置の切り替えスイッチを Run にする、CIP Security を使う、制御ネットワークの外からの TCP 44818 への通信を止めるなどの対策が示されています。使える対策は制御装置の機種と版によって違い、SoftLogix 5800 には追加の対策がないとされています。制御装置はファイアウォールの内側に置き、遠隔から使うときは VPN を使い、制御装置の変更記録に心当たりのない変更がないかも確かめましょう。

やることチェックリスト

• 制御装置の切り替えスイッチをRunにする
• 外からのTCP 44818への通信を止める
• 制御装置の変更記録に不審な変更がないか調べる

用語メモ

ファイアウォール

ネットワークの出入り口で、許可した通信だけを通し、それ以外を止める仕組みです。

VPN

インターネット上に、暗号化した専用の通り道を作って安全に通信する仕組みです。

CIP Security

Rockwell の制御装置との通信を暗号化し、相手を確かめるための仕組みです。