横河電機（東京都武蔵野市）は同社の統合型アラーム管理ソフトウエアCAMS for HISに複数の脆弱性があることを公表、これを受けて制御システムのサイバーセキュリティ情報をリリースしているICS-CERTは8月11日、アドバイザリーを発行した。
ICS-CERTのアドバイザリーによると、影響を受けるのは横河電機の分散制御システム「CENTUM」の4バージョンで、攻撃者が改ざんした通信パケットを送信したり、ファイルを作成または上書きしたり、コマンドを実行したりする恐れがある。横河電機によると、同社はプラントの生産設備の制御・運転監視を行う分散型制御システムを世界に先駆けて開発、CENTUMは1975年に発売を開始した世界初の分散型制御システム（DCS）で、石油、ガス、化学、電力、鉄鋼、薬品、食品などの産業分野で100カ国以上、計27,000システムが採用されている。
横河電機のリリースによると脆弱性が見つかったのはCENTUMで動作をするCAMS for HISという統合型アラーム管理ソフトウエア。制御システムを統合してシステムの効率化を図る際に生じるアラームの管理について、効率的な管理を可能にするソフトウエア。このソフトウエアに不適切な認証やパス・トラバーサル攻撃の脆弱性があることが判明した。脆弱性を利用して認証されていない攻撃者によってリモートから改ざんされた通信パケットを送信されたり、リモートから任意の場所にファイルを作成、上書き、任意のコマンドを実行される恐れがある。
横河電機ではパッチ版の適用や製品のアップグレードなどの対策を紹介するとともに、システム全体において適切なセキュリティ対策を講じることを推奨、対策例としてパッチ適用、アンチウィルス、ホワイトリスティング、ハードニング、バックアップ、ファイアウォール、ネットワークセグメンテーションをあげている。
■出典
https://us-cert.cisa.gov/ics/advisories/icsa-20-224-01
https://web-material3.yokogawa.com/19/15365/tabs/rd-tr-r05101-010.jp.pdf