2022 年 6 月 15 日をもちまして、本ウェブサイトは Internet Explorer のサポートを終了いたします。
他のブラウザーをご利用いただき、当社ウェブサイトでの最適な閲覧体験をお楽しみください。

製品サポート

セキュリティアドバイザリ

概要

CVE-2024-9404:複数のPTスイッチで発見されたサービス拒否の脆弱性

  • アドバイザリーID: MPSA-240933
  • バージョン: V1.2
  • 公開日: 2025年2月19日
  • 参考:

    CVE-2024-9404(Moxa) 

複数のPTスイッチが重大度の高い脆弱性CVE-2024-9404の影響を受けており、サービス拒否状態を引き起こしたり、システムまたはサービスのクラッシュを引き起こしたりする可能性があります。この脆弱性により、攻撃者は、もともと展開を目的として設計された、一般にmoxa_cmdと呼ばれるMoxaサービスを悪用できます。入力検証が不十分なため、このサービスが悪用され、コールドスタートまたはサービス拒否状態が引き起こされる可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。この問題の重大性を考慮すると、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-1287:指定されたタイプの入力に対する不適切な検証(CVE-2024-9404)

この脆弱性(CVE-2024-9404)は、サービス拒否やサービスクラッシュを引き起こす可能性があります。moxa_cmdサービスの悪用により、不十分な入力検証が原因で、攻撃者は操作を妨害することができます。パブリックネットワークに公開された場合、この脆弱性は深刻なリモート脅威となり、攻撃者は影響を受けるシステムをシャットダウンすることができます。

脆弱性評価の詳細

ID
ベーススコア
ベクター
重大度

認証されていないリモートエクスプロイト

CVE-2024-9404

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

あり
CVSS 4.0: 8.7

AV:N/AC:L/AT:N/PR:N/UI:N/

VC:N/VI:N/VA:H/SC:N/SI:N/SA:L

注意:このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

影響を受ける製品およびソリューション

CVE-2024-9404の影響を受ける製品

影響を受ける製品とファームウェアバージョンは以下の表のとおりです。

製品シリーズ 影響を受けるバージョン
PT-7728 シリーズ ファームウェアバージョン 3.9 以前
PT-7828 シリーズ ファームウェアバージョン 4.0 以前
PT-G503 シリーズ ファームウェアバージョン 5.3 以前
PT-G510 シリーズ ファームウェアバージョン 6.5 以前

 

対処方法

Moxaはこの脆弱性に対する適切な対処方法を策定しました。影響を受ける製品への対処方法は以下の表のとおりです。

製品シリーズ 対処方法
PT-7728 シリーズ

セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。

注意:セキュリティパッチバージョン3.9.2では、以下の脆弱性が修正されています。

  1. CVE-2024-9137:認証が欠落しているため、不正な構成変更が行われる可能性があります。
  2. CVE-2024-7695:境界外書き込みの脆弱性により、サービス拒否(DoS)攻撃につながる可能性があります。
  3. CVE-2024-9404:サービス拒否の脆弱性により、システムのクラッシュや再起動が発生する可能性があります。
PT-7828 シリーズ

セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。

注意:セキュリティパッチバージョン4.0.4では、以下の脆弱性が修正されています。 

  1. CVE-2024-9137:認証が欠落しているため、不正な構成変更が行われる可能性があります。
  2. CVE-2024-7695:境界外書き込みの脆弱性により、サービス拒否(DoS)攻撃につながる可能性があります。
  3. CVE-2024-9404:サービス拒否の脆弱性により、システムのクラッシュや再起動が発生する可能性があります。
PT-G503 シリーズ

セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。

注意:セキュリティパッチバージョン5.3.6では、以下の脆弱性が修正されています。 

  1. CVE-2024-9137:認証が欠落しているため、不正な構成変更が行われる可能性があります。
  2. CVE-2024-7695:境界外書き込みの脆弱性により、サービス拒否(DoS)攻撃につながる可能性があります。
  3. CVE-2024-9404:サービス拒否の脆弱性により、システムのクラッシュや再起動が発生する可能性があります。
PT-G510 シリーズ

セキュリティパッチについては、Moxaのテクニカルサポートまでお問い合わせください。

注意:セキュリティパッチバージョン6.5.8では、以下の脆弱性が修正されています。 

  1. CVE-2024-9137:認証が欠落しているため、不正な構成変更が行われる可能性があります。
  2. CVE-2024-7695:境界外書き込みの脆弱性により、サービス拒否(DoS)攻撃につながる可能性があります。
  3. CVE-2024-9404:サービス拒否の脆弱性により、システムのクラッシュや再起動が発生する可能性があります。

 

緩和策

この脆弱性に関連するリスクを軽減するには、次の対応策を実施することをお勧めします。

  • MoxaサービスおよびMoxaサービス(暗号化)が操作に必要ない場合は、一時的に無効にしてください。これにより、パッチまたは更新されたファームウェアが適用されるまで、潜在的な攻撃ベクトルが最小限に抑えられます。

セキュリティ体制をさらに強化するには、「一般的なセキュリティ推奨事項」セクションを参照してください。

 

一般的なセキュリティ推奨事項

デバイスとネットワークを保護するために、以下の推奨事項を実装して潜在的なリスクを軽減することをお勧めします。

  1. ネットワークアクセスの制限
    • ファイアウォールまたはアクセス制御リスト(ACL)を使用して、信頼できるIPアドレスとネットワークへの通信を制限します。
    • VLANを使用するか物理的に分離することで、運用ネットワークを他のネットワーク(エンタープライズネットワークなど)から隔離します。
  2. 露出の最小化
    • デバイスをインターネットに直接公開しないようにします。
    • 使用されていないネットワークサービスとポートを無効にして、攻撃対象領域を減らします。
  3. デバイス認証とアクセス制御の強化
    • 重要なシステムにアクセスするための多要素認証(MFA)を実装します。
    • ロールベースのアクセス制御(RBAC)を使用して、最小権限の原則を適用します。
  4. ファームウェアとソフトウェアの定期的な更新
    • デバイスを最新のファームウェアバージョンとセキュリティパッチで更新します。
    • 新たに特定された脆弱性に対処するために、定期的なパッチ管理スケジュールを確立します。
  5. セキュアなリモートアクセス
    • リモートアクセスには暗号化された通信プロトコル(VPN、SSHなど)を使用します。
    • リモートアクセスを許可された担当者のみに制限し、強力な認証メカニズムを適用します。
  6. 異常検出技術の実装
    • ネットワークトラフィックとデバイスの動作を監視して、異常なアクティビティや不正なアクティビティがないかどうかを確認します。
    • 異常を識別し、潜在的な脅威に関するアラートを提供できるツールや技術を使用します。
  7. ロギングと監視の実装
    • イベントロギングを有効にし、デバイスで監査証跡を維持します。
    • ログを定期的に確認して、異常や不正なアクセス試行がないかどうかを確認します。
  8. 定期的なセキュリティ評価の実施
    • 脆弱性評価を実施して潜在的なリスクを特定します。
    • デバイスの構成を定期的に確認して、会社のセキュリティポリシーに準拠していることを確認します。

 

謝辞

MoxaのサイバーセキュリティテクノロジーチームのYU-HSIANG HUANG(huang.yuhsiang.phone@gmail.com)は、この脆弱性を報告し、当社製品のセキュリティ強化に向けて協力し、お客様により良いサービスを提供するための取り組みに貢献しました。この場をお借りして感謝の意を表します。

 

改訂履歴

バージョン 説明 公開日
1.0 最初の公開 2025年2月19日
1.1

対処方法で、脆弱性を修正するセキュリティパッチのバージョン情報を更新

2025年2月21日

1.2 謝辞を更新

2025年2月26日

関連製品

PT-7728シリーズ · PT-7828シリーズ · PT-G503シリーズ · PT-G510シリーズ ·

  •   このページを印刷
  • My Moxaで保存したリストを管理および共有できます。
それを修正しましょう

潜在的なサイバーセキュリティの脆弱性について懸念がある場合は、弊社までご連絡ください。テクニカルサポートスタッフがご連絡いたします。

脆弱性を報告する
バッグに追加