Trusted DesignCVE-2023-6448 の詳細
CVEの情報
説明:
Unitronics VisiLogic before version 9.9.00, used in Vision and Samba PLCs and HMIs, uses a default administrative password. An unauthenticated attacker with network access can take administrative control of a vulnerable system.
CVE更新日: 2023-12-05 18:15:12.643000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-12-11
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.020890000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2023-6448について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2023-6448は、Unitronics社のVisiLogicソフトウェアおよびVision/SambaシリーズのPLC（プログラマブルロジックコントローラー）およびHMI（ヒューマンマシンインターフェイス）製品における認証バイパスの脆弱性です。この脆弱性は、工場出荷時のデフォルト管理パスワードが不適切に設定されていること（ハードコードされた認証情報や安全ではないデフォルト初期化）に起因します。
1.1 影響 ネットワークアクセスを持つ認証されていない攻撃者が、脆弱なシステムの管理権限を完全に掌握する可能性があります。これにより、産業用制御システム（ICS）の運用が中断されたり、安全上の問題が発生したりするおそれがあります。特に、上下水処理施設を含む重要インフラ分野での展開が多いため、深刻な懸念が表明されています。攻撃者はリモートでコマンドを実行したり、システム設定を変更したりすることが可能になります。
1.2 深刻度 CVSS v3.1の基本スコアは「9.8」であり、「クリティカル（Critical）」と評価されています。 この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用が確認されているため、高いリスクがあります。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のUnitronics製品のバージョンが本脆弱性の影響を受けます。 * Unitronics VisiLogic ソフトウェアのバージョン 9.9.00 より前のもの。 * Unitronics VisionおよびSambaシリーズPLC/HMI製品のOSバージョン 12.38 より前のもの。 * 具体的には、Vision 1210、Vision 1040、Vision 120、Vision 130、Vision 230、Vision 280、Vision 290、Vision 350、Vision 430、Vision 530、Vision 560、Vision 570、Vision 700といったVisionおよびSambaシリーズの様々なファームウェアバージョンが影響を受けます。
2.2 影響を受ける設定 * 工場出荷時のデフォルト管理パスワード（例: "1111"など）が変更されずに使用されている場合。 * ネットワーク経由でPLCやHMIにアクセスできる設定になっている場合、特にデバイスがインターネットに直接公開されている環境。
3. 影響を受けた時の兆候
攻撃者は、ネットワークアクセス（通常はModbus/TCPプロトコルのポート502など）を介して影響を受けるデバイスに接続し、デフォルト管理パスワードを使用して認証を行うことで、認証情報を知らなくても管理権限を奪取できます。 実際に悪用された場合、機器のリモート操作、設定の不正な変更、あるいはシステムの運用停止といった兆候が見られる可能性があります。CISAの報告によると、米国の一部の水道局でこの脆弱性が悪用されたサイバー攻撃が確認されています。
4. 推奨対策
4.1 本対策 * VisiLogicソフトウェアのアップデート: Unitronics VisiLogicソフトウェアをバージョン 9.9.00 以降にアップデートしてください。このパッチが適用されたバージョンでは、以下の対応が強制されます。 * デフォルトの管理パスワードの変更。 * PCOM対応ソケットへのパスワード設定。 * SDW10ロールを使用したリモートPCOM操作の制御。 * パスワードの変更: すべてのPLCおよびHMIデバイスにおいて、デフォルトパスワードを強力で推測されにくいパスワードに変更してください。特に「1111」などの容易に推測されるパスワードの使用は避けるべきです。
4.2 暫定回避策（緩和策） * インターネットからの隔離: PLCをインターネットに直接公開されているネットワークから切断してください。 * ネットワークアクセスの制限: リモートアクセスが必要な場合は、PLCへのネットワークアクセスを厳密に制御し、許可されたIPアドレスからのアクセスのみを許可するホワイトリスト方式などの対策を講じてください。 * PCOM設定の強化: PCOM対応ソケットにパスワードを設定し、SDW10ロールを用いてリモートで許可されるPCOM操作を制御することで、不正なアクセスを防ぎます。
他に解説すべき観点
本脆弱性は、CISAの「Known Exploited Vulnerabilities Catalog」に登録されており、実際の攻撃での悪用が確認されているため、組織は迅速かつ優先的に対策を講じる必要があります。 影響を受ける製品が水処理施設などの重要インフラで使用される産業用制御システム（ICS）であることから、この脆弱性の悪用は社会的な影響が非常に大きくなる可能性があります。
参照したサイト