Emerson Ovationに認証不要の脆弱性、設定変更の恐れ
Emerson Ovationの複数のプロトコルに認証がなく、ネットワーク越しにコントローラーの設定変更や停止を招く恐れがあります。Ovationを使う事業者は、自社の版が対象かを確認し、ベンダーの告知に沿って対策してください。
急ぎ度: 早めに
CVSS v3は9.8、CVSS v4は9.3で、認証もユーザー操作も要らずネットワーク越しに悪用できる評価ですが、公表直後であり、修正版と対策の詳細はベンダーの告知で確認する段階です。
関係があるか
発電所や水処理施設など、制御システムとしてEmerson Ovationを運用している事業者が対象です。制御ネットワークに社内LANや保守用の回線がつながっている環境は、とくに確認が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Emerson Ovation | Version 3.8.0 Feature Pack 1以前 | 更新先の版と対策の内容は、Emersonの告知とCISAのICSアドバイザリで確認してください |
確かめ方
- 1Ovationの管理端末やシステム情報の画面で、導入している版を確認する。
- 2制御設備を管理している部署や保守ベンダーに、Ovationの版と、制御ネットワークの接続先を問い合わせる。
- 3Ovationのコントローラーに、どのネットワークから到達できるかを、ネットワーク構成図とファイアウォールの設定で確認する。
何が起きたか
Emerson Ovationには、認証なしで操作を受け付けるプロトコルが複数あります。コントローラーに通信を届けられる相手は、ログインせずに設定を書き換えたり、コントローラーを機能停止に追い込んだりできる可能性があります。
この脆弱性は2026年11月3日に公表されました。弱点の種類は、重要な機能に認証がないCWE-306です。影響を受けるのはVersion 3.8.0 Feature Pack 1以前とされています。
実際の攻撃での悪用が確認されたという情報は、現時点では出ていません。ただ、攻撃に特別な条件が要らない評価なので、制御ネットワークに外部から届く経路が残っている環境では、早めに版と接続経路を洗い出したほうがよいでしょう。
攻撃の流れ
-
1
到達できる位置
攻撃者がOvationのコントローラーに通信を届けられるネットワークに入る。
-
2
認証なしで接続
認証を持たないプロトコルに、ログインなしで接続する。
-
3
設定の書き換え
コントローラーの設定を不正に変更する。
-
4
機能停止
コントローラーをサービス拒否の状態にし、制御に支障を出す。
どう悪用されるか
悪用に認証は要りません。ユーザーの操作も不要で、ネットワーク越しに仕掛けられます。攻撃の難易度は低いと評価されています。条件になるのは、コントローラーに通信が届く位置にいることだけです。
被害は、コントローラーの設定変更と、サービス拒否による停止です。CVSSの評価では、機密性、完全性、可用性の影響がいずれも高とされています。制御システムでは、設定が意図せず変わったり止まったりすると、監視や運転そのものに響きます。
今すぐやること
-
1
導入している版を確認する
Ovationの版が3.8.0 Feature Pack 1以前かを調べます。複数拠点にある場合は、拠点ごとに洗い出します。
-
2
ベンダーの告知で修正版と対策を確認する
Emersonの告知とCISAのICSアドバイザリで、更新先の版と適用手順を確認します。制御システムは更新に停止の調整が要るため、保守ベンダーと日程を早めに詰めてください。
-
3
コントローラーに届く経路を絞る
インターネットや事務系ネットワークから、コントローラーに通信が届いていないかを確認します。保守用のリモート接続も対象です。
-
4
設定の変更履歴を点検する
コントローラーの設定に、心当たりのない変更がないかを確認します。未更新の期間に外部から届く経路があった場合は、とくに丁寧に見てください。
すぐ更新できないとき
更新をすぐに当てられないときは、制御ネットワークを事務系ネットワークやインターネットから分離します。ファイアウォールで、コントローラーに通信できる機器を管理端末などに限定してください。保守用のリモート接続は、必要なときだけ開ける運用にし、VPNなど認証のある経路に限ると安全です。
背景
Emerson Ovationは、発電所や水処理施設などで使われる分散制御システムです。コントローラーが機器の運転を直接握り、運転員の画面や記録の仕組みとつながっています。ここで設定が変わったり止まったりすると、IT機器の障害とは違い、設備の運転に影響が及びかねません。
産業用の通信プロトコルは、外部と切り離された閉じたネットワークで使う前提で作られたものが多く、認証を持たない設計が残っていることがあります。今回の脆弱性もその流れにあります。ネットワークの分離が保たれているかどうかが、実質的な防御線になります。
よくある質問
Q.制御ネットワークがインターネットに出ていなければ、急がなくてよいですか。
Q.この脆弱性は、情シスとOT担当のどちらが対応しますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Emerson | Ovation |
Version 3.8.0 Feature Pack 1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Emerson Ovation has several protocols that have no authentication, which could allow an attacker to change controller configuration or cause a denial-of-service condition.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cisa.gov
- web github.com
- web nvd.nist.gov
- web github.com