Trusted Design

解説:

CVE-2021-22681は、Rockwell Automation社の産業用制御システム（ICS）製品に影響を与える認証バイパスの脆弱性です。

1. 脆弱性の概要

CVE-2021-22681は、Rockwell Automation Studio 5000 Logix DesignerおよびRSLogix 5000ソフトウェア、ならびに複数のLogixコントローラ製品に影響を与える、深刻な認証バイパスの脆弱性です。この脆弱性は、エンジニアリングソフトウェアとプログラマブルロジックコントローラ（PLC）間の通信を検証するために使用される認証メカニズムに存在します。認証されていないリモート攻撃者は、この検証メカニズムをバイパスし、影響を受けるICSデバイスへの不正な接続を確立する可能性があります。

この脆弱性の根本原因は、コントローラの認証に使用される共有暗号鍵が不十分に保護されていること（CWE-522: Insufficiently Protected Credentials）にあり、攻撃者によってこの鍵がバイパスされる可能性があります。

1.1 影響

• 認証されていないリモート攻撃者が認証をバイパスし、産業用制御システムに不正アクセスする可能性があります。
• 成功した場合、攻撃者はPLCロジックを操作し、製造プロセスを混乱させたり、産業機器に物理的な損害を与えたりする可能性があります。
• 正規のユーザーのアクセスを妨げたり、ワークステーションを含む接続デバイスとの接続を終了させたりする可能性があります。
• 機密性、完全性、可用性のすべてに高い影響を与える可能性があります。

1.2 深刻度

• CVSS v3.1スコアは9.8（緊急/Critical）と評価されています。
• CVSS v2.0スコアは7.5（高/High）と評価されています。
• このCVEは、CISA（Cybersecurity and Infrastructure Security Agency）の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用されていることが示されています。

2. 対象となる環境

2.1 影響を受けるソフトウェアバージョン

• Rockwell Automation Studio 5000 Logix Designer バージョン 21以降
• Rockwell Automation RSLogix 5000 バージョン 16から20まで
• FactoryTalk Security (FactoryTalk Services Platformの一部) v2.10以降

2.2 影響を受けるコントローラ製品

• Rockwell Automation CompactLogix 1768, 1769, 5370, 5380, 5480
• Rockwell Automation ControlLogix 5550, 5560, 5570, 5580
• Rockwell Automation DriveLogix 5560, 5730, 1794-L34
• Rockwell Automation Compact GuardLogix 5370, 5380
• Rockwell Automation GuardLogix 5570, 5580
• Rockwell Automation SoftLogix 5800

2.3 影響を受けるOSバージョン

不明

2.4 影響を受ける設定

• FactoryTalk Securityが構成・展開されている場合、この脆弱性によってその保護をバイパスされる可能性があります。
• CWE-522（認証情報の不十分な保護）に関連しており、認証情報保護の設定が不十分な環境が影響を受けます。

3. 影響を受けた時の兆候

直接的な兆候についての具体的な記載は見当たりませんが、不正なアクセスによって以下の異常が発生する可能性があります。

• PLCロジックの意図しない変更
• 製造プロセスの予期せぬ停止または誤動作
• 産業機器の物理的な損傷
• 正規のユーザーがコントローラにアクセスできない

4. 推奨対策

Rockwell Automation社は、この脆弱性に対してパッチによる修正が不可能であることを警告しています。そのため、以下の緩和策の適用が推奨されています。

4.1 本対策

• CIP Securityの導入: Logix Designerアプリケーション接続にCIP Securityを展開することで、不正な接続を防ぐことができます。
• Logixコントローラのモードスイッチを「Run」モードに設定: これにより、コントローラの論理の意図しない変更を防ぐことができます。
• ネットワークアクセス制御の実施:
  • すべての制御デバイスやシステムのネットワークへの接続を最小限に抑え、インターネットから直接アクセスできないようにします。
  • 制御システムネットワークと業務用ネットワークをファイアウォールで分離し、デバイスを保護します。
  • 特に、TCPポート44818へのアクセスを制限します。
• 物理的セキュリティの強化: 制御デバイスへの物理的なアクセスを制限します。
• 信頼できるソースからのコードのみをロード: コントローラに信頼できるソースからのコードのみがロードされるように管理します。

4.2 暫定回避策（緩和策）

上記の「本対策」として挙げられた項目が、暫定的な緩和策としても機能します。特に、ネットワークアクセスを制限し、コントローラのモードを「Run」に設定することは、即座に実施可能な回避策として重要です。 また、Rockwell Automation社の「System Security Design Guidelines」などのセキュリティガイドラインに沿った一般的な対策をあわせて適用することが推奨されます。

他に解説すべき観点

• 攻撃ベクトルと複雑性: この脆弱性の攻撃ベクトルはネットワークベースであり、攻撃者は対象のLogixコントローラへのネットワーク接続が必要です。攻撃の複雑さは低く、特権は不要、ユーザーとの対話も不要と評価されています。

参照したサイト

• CVE-2021-22681: FactoryTalk Auth Bypass Vulnerability - SentinelOne
• CVE-2021-22681 Detail - NVD
• CVE-2021-22681 | Claroty
• CVE-2021-22681 : Rockwell Automation Studio 5000 Logix Designer Versions 21 and later, and RSLogi - CVE Details
• CVE-2021-22681 | Tenable®
• CVE-2021-22681: Authentication Bypass Vulnerability Found in Logix Controllers - RND Automation
• CVE-2021-22681 Security Vulnerability Analysis & Exploit Details
• PN1550 | Security Advisory | Rockwell Automation
• CVE-2021-22681 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
• JVNVU#95803527 複数の Rockwell Automation Logix コントローラ製品に認証情報の不十分な保護の脆弱性 - JVN
• Rockwell Vulnerability Allowing Remote ICS Hacking Exploited in Attacks - SecurityWeek
• CVE 2021-22681 - GitHub Advisory Database
• Logix PLC Vulnerability: What You Need To Know and What to Do Now - Outlier Automation
• 更新：Rockwellの脆弱性がCISAのKEVカタログに追加され、現在悪用されています - Reddit