Valmet DNA エンジニアリングWebツールにパストラバーサル攻撃の脆弱性（CVE未割当）

Valmet DNA エンジニアリングWebツールにパストラバーサル脆弱性のリスク

マドリード（スペイン） – 2026年2月20日 – INCIBE-CERTは、ValmetのDNAエンジニアリングWebツールにパストラバーサル脆弱性が存在することを警告するアドバイザリを発表しました。このソフトウェアスイートは、産業プロセスの自動化および制御に使用されています。現在CVE識別子は未割り当てですが、この脆弱性により、制限されたディレクトリへの不正アクセスが可能となり、機密性の高いシステムファイルが露出する恐れがあります。

技術的詳細

この脆弱性は、ValmetのDNAエンジニアリングツールのWebベースインターフェースにおけるディレクトリアクセス制御の不適切な制限に起因します。影響を受けるシステムにネットワークアクセスを持つ攻撃者は、この脆弱性を悪用して意図された制限パスの外部にあるディレクトリにアクセスし、設定ファイルや認証情報、その他の重要データを不正に取得する可能性があります。

• 影響を受けるソフトウェア: Valmet DNA エンジニアリングWebツール
• 脆弱性の種類: パストラバーサル（CWE-22）
• 影響: 不正なディレクトリアクセス、データ露出の可能性
• CVSSスコア: 未定（高リスクの可能性が高い）
• パッチ状況: 未提供

影響分析

パルプ、製紙、エネルギー生産などの分野で運用される産業制御システム（ICS）において、ValmetのDNAエンジニアリングツールは重要な役割を果たしています。この脆弱性が悪用されると、以下のリスクが発生する可能性があります：

• 機密性の高い運用データへの不正アクセス
• 設定ファイルが改ざんされた場合の産業プロセスの混乱
• 認証情報が露出した場合のネットワーク内でのラテラルムーブメント

このソフトウェアがOT（Operational Technology）環境で展開されていることを考慮すると、リスクはデータ露出にとどまらず、物理的な影響にまで及び得ます。具体的には、機器の損傷や安全上のインシデントが発生する恐れがあります。

セキュリティチーム向け推奨対策

INCIBE-CERTおよびValmetからのパッチはまだ提供されていませんが、影響を受けるソフトウェアを使用している組織は、以下の対策を講じるべきです：

1. ネットワークアクセスの制限

   • DNAエンジニアリングWebツールのインターフェースを信頼できるネットワークにのみ公開する。
   • ファイアウォールルールを実装し、Webインターフェースポートへの不正アクセスをブロックする。

2. 不審なアクティビティの監視

   • **侵入検知/防止システム（IDS/IPS）**を導入し、パストラバーサルの試行を検出する。
   • 制限されたディレクトリへの異常なアクセスパターンがないかログを確認する。

3. 多層防御策の適用

   • OTネットワークと企業ITネットワークを分離し、潜在的な侵害を封じ込める。
   • システムとのやり取りを行うユーザーに対して最小権限アクセスを強制する。

4. パッチ適用の準備

   • Valmetの公式チャネルを監視し、セキュリティアップデートがリリースされ次第、直ちに適用する。
   • 運用に支障をきたさないよう、非本番環境でパッチをテストしてから展開する。

今後の対応

INCIBE-CERTは、CVE識別子やパッチの詳細など、新たな情報が入り次第アドバイザリを更新します。ValmetのDNAエンジニアリングツールに依存している組織は、この問題を高優先度として扱い、修正プログラムが提供されるまで緩和策を実施することが推奨されます。

詳細については、INCIBE-CERTのオリジナルアドバイザリを参照してください。