三菱電機 ICONICS製品に重大な脆弱性（CVE-2025-25164）の影響
三菱電機のICONICS製品に重大な脆弱性（CVE-2025-25164）が確認され、DoS攻撃や情報改ざん、不正データ漏洩のリスクが指摘されています。OT環境への影響と対策を解説。
三菱電機 ICONICS製品に重大な脆弱性（CVE-2025-25164）が確認される
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、三菱電機 ICONICSのデジタルソリューションおよび関連製品に存在する重大な脆弱性を公表しました。この脆弱性は、サービス拒否（DoS）攻撃、情報改ざん、不正なデータ漏洩を引き起こす可能性があります。2024年12月18日に公開されたアドバイザリ（ICSA-25-352-04）では、産業用制御システム（OT）環境へのリスクが強調されています。
技術的詳細
この脆弱性は、三菱電機 ICONICSの複数のソフトウェアバージョンに影響を及ぼします。影響を受ける製品は以下の通りです：
- GENESIS64
- GENESIS32
- Hyper Historian
- AnalytiX
- Energy AnalytiX
- ReportWorX
- MobileHMI
主な脆弱性はCVE-2025-25164として追跡されており、不適切な入力検証に起因します。攻撃者は低い複雑度でリモートからこの脆弱性を悪用可能であり、成功した場合、産業プロセスの停止、機密データの改ざん、または機密情報の漏洩を引き起こす恐れがあります。
CISAのアドバイザリには、**Common Security Advisory Framework（CSAF）**ドキュメントが含まれており、緩和策や影響を受ける製品バージョンの詳細が記載されています。セキュリティチームは、技術的な仕様を確認するためにCSAFファイルをレビューするよう推奨されています。
影響分析
これらの脆弱性は、**産業用制御システム（ICS）**および三菱電機 ICONICSを監視・自動化に利用している重要インフラセクターに重大なリスクをもたらします。攻撃が成功した場合、以下の影響が考えられます：
- DoS状態による運用停止
- 重要データの改ざんまたは削除により、安全性やコンプライアンス違反が発生
- 機密情報の窃取、プロプライエタリなプロセスデータや認証情報の漏洩を含む
攻撃の複雑度が低いため、組織はパッチの適用や代替的な制御策の実施を優先する必要があります。
推奨対策
CISAは、影響を受ける組織に以下の対策を推奨しています：
- 三菱電機から提供されるパッチを迅速に適用する。
- 脆弱なシステムへのネットワークアクセスを制限し、特に信頼できないゾーンからのアクセスを遮断する。
- **ICS特化型の侵入検知システム（IDS）**を使用して不審な活動を監視する。
- CSAFアドバイザリを確認し、バージョン固有のガイダンスや回避策を実施する。
詳細については、CISA公式アドバイザリを参照してください。