概要
Naxclowのデバイスが全ファームウェアに共通のハードコードされた署名ソルトを組み込んでいることが確認されました。CVSSスコアは9.8（CRITICAL）です。CISAがICSセキュリティアドバイザリ（ICSA-26-162-02）を発行しています。
いずれか1台のデバイスからソルトを取り出せば、任意のデバイスまたはアカウントへの操作リクエストに有効な署名を生成できます。デバイスごとの固有鍵やサーバー側のノンス追跡・リプレイ防止機構がなく、制御プレーン通信にHTTPを使用しているため、プラットフォーム全体にわたるリクエスト偽造となりすましが可能です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.8 (CRITICAL) |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | 不要 (N) |
| ユーザー操作 (UI) | 不要 (N) |
| CWE | CWE-321（ハードコードされた暗号鍵の使用） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Naxclow デバイス | Naxclow | 全ファームウェア（対策版は要確認） |
修正バージョンと回避策
修正: ベンダーのアドバイザリおよびCISA ICSアドバイザリ（ICSA-26-162-02）を参照し、最新ファームウェアへの更新とベンダー推奨の対策を実施してください。
緩和策として検討できる対応:
- デバイスをネットワーク上で分離し、外部からのアクセスを制限する
- 制御プレーン通信にHTTPSを強制できる場合は設定を変更する
- 通信ログを監視して不審なリクエストを検知する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。