概要
Dover Fueling Solutions 製の燃料タンクゲージコンソール「ProGauge MagLink LX 4」のファームウェアに、認証トークンの検証に使用される秘密鍵がハードコードされている脆弱性です（CWE-321）。
攻撃者が当該署名鍵を取得した場合、正規ユーザーの認証情報なしで任意の認証済みリクエストを偽造でき、システムへの完全なアクセスが可能となります。
本製品はガソリンスタンドや給油施設における自動タンクゲージ（ATG）システムとして使用されており、ICS（産業制御システム）への影響が懸念されます。CISA の ICS セキュリティアドバイザリ（ICSA-25-261-07）として公開されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSS バージョン | 3.1 |
| 攻撃経路（AV） | ネットワーク |
| 攻撃の複雑さ（AC） | 低 |
| 必要な権限（PR） | 不要 |
| ユーザーインタラクション（UI） | 不要 |
| 機密性への影響（C） | 高 |
| 完全性への影響（I） | 高 |
| 可用性への影響（A） | 高 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| ProGauge MagLink LX 4 | Dover Fueling Solutions | CISA ICS アドバイザリ ICSA-25-261-07 対象バージョン |
修正バージョンと回避策
対策: CISA ICS アドバイザリ ICSA-25-261-07 に記載されたベンダー提供のファームウェアアップデートを適用してください。
ネットワーク分離対策（アップデートが困難な場合）:
- デバイスをインターネットから切り離す
- ファイアウォールで管理インターフェースへのアクセスを制限する
- CISA の ICS セキュリティ推奨事項（Defense-in-Depth）に従う
関連リンク
データソース: NVD (NIST), CISA ICS Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。