【ITニュース解説】三菱電機製GENESIS64およびMC Works64におけるインストール時の不適切なファイルアクセス権設定の脆弱性

三菱電機製のGENESIS64およびMC Works64という二つの製品に、インストール時の不適切なファイルアクセス権設定に関するセキュリティ上の弱点、つまり脆弱性が存在することが明らかになった。この問題は、ソフトウェアがコンピューターに導入される段階で、ファイルやフォルダーに対するアクセス権限の設定が適切に行われないことに起因する。

脆弱性とは、コンピューターシステムやソフトウェアに存在する、セキュリティ上の欠陥や弱点のことを指す。悪意を持った第三者、つまり攻撃者がこの弱点を見つけて悪用すると、システムに不正に侵入したり、重要な情報を盗み出したり、システムを停止させたりすることが可能になる。システムエンジニアを目指す者にとって、この脆弱性の概念を理解し、いかにしてそれを防ぐか、あるいは対処するかは非常に重要な知識である。

今回の脆弱性の核心にあるのは、「ファイルアクセス権」という概念だ。コンピューターシステムでは、ファイルやフォルダーといったデータ資源に対し、どのユーザーやどのプログラムが、どのような操作（例えば、読み込み、書き込み、実行など）を行えるかを細かく制限する仕組みがある。これがファイルアクセス権である。システム上の重要なファイルには、限られた管理者のみが変更・削除できるような厳格な権限が設定されているのが普通だ。これにより、誤った操作や悪意のある操作からファイルを保護し、システムの安定性とセキュリティを保つ。

しかし、「不適切なファイルアクセス権設定」とは、本来であれば限定的なアクセスしか許されないはずのファイルやフォルダーに対し、広すぎる範囲のユーザーやプログラムに、必要以上のアクセス権が付与されてしまう状態を指す。今回のケースでは、三菱電機製のGENESIS64やMC Works64をインストールする際、システムの根幹に関わるファイルや、製品の設定ファイルなどに、管理者以外の一般ユーザーであっても書き換えや削除ができてしまうような、甘い権限が設定されてしまう可能性があったと考えられる。この甘い権限設定が悪用されると、例えば、一般ユーザー権限で動作するプログラムや、あるいは攻撃者が侵入した際に実行する悪意のあるコードが、本来は管理者権限がなければ変更できないはずのシステムファイルや設定ファイルを、勝手に書き換えたり削除したりすることが可能になる。これにより、システムの設定が破壊されたり、不正なプログラムがシステムに組み込まれたりする恐れがある。

この問題が「インストール時」に発生する点も重要だ。ソフトウェアのインストールとは、製品をコンピューターに導入し、利用できる状態にする一連の作業を指す。この初期設定の段階で、セキュリティに関する考慮が不足していたり、インストーラーの設計に不備があったりすると、製品自体は正常に動作しても、その土台となるシステム環境にセキュリティ上の穴が生まれてしまう。つまり、製品が導入されたその瞬間から、脆弱性を抱えた状態になってしまうわけだ。これは、後から運用で対処しようとしても難しい根本的な問題を引き起こす。

GENESIS64およびMC Works64は、製造業の工場や社会インフラ施設などで利用される、いわゆる産業用制御システム（SCADAシステムやMESシステムなどと呼ばれることもある）に関連する製品である。これらのシステムは、発電所の電力供給、上下水道の管理、鉄道の運行、工場の生産ラインといった、社会の基盤を支える極めて重要な役割を担っている。そのため、これらの製品に存在する脆弱性が悪用された場合、その影響は単なる情報漏洩やシステムの軽微な不具合に留まらない。最悪の場合、工場の操業停止、社会インフラの機能不全、さらには物理的な損害や人命に関わる重大な事故に繋がる可能性も否定できない。

具体的にどのような被害が想定されるかというと、もしこの脆弱性が悪用された場合、攻撃者は、本来アクセスできないはずの重要な設定ファイルを勝手に書き換えることができる。これにより、製品の動作を停止させたり、誤作動を引き起こさせたり、あるいはマルウェアと呼ばれる悪意のあるプログラムを設置して、システム全体を乗っ取るといったことが考えられる。例えば、工場の生産ラインを停止させたり、異常な動作を強制したりすることで、多大な経済的損失や生産計画の破綻に繋がるリスクも無視できない。また、システムから機密情報を盗み出したり、不正なコマンドを遠隔で実行させたりする可能性もある。これらの被害は、企業活動のみならず、社会全体に大きな混乱をもたらしかねない。

このような脆弱性からシステムを守るためには、いくつかの対策が不可欠である。まず、製品開発元から提供されるセキュリティパッチやアップデートを速やかに適用することが最も重要だ。これは、製品の欠陥を修正し、セキュリティを強化するための修正プログラムである。また、システムエンジニアとしては、「最小権限の原則」を常に意識する必要がある。これは、ユーザーやプログラムに与えるアクセス権限を、その業務遂行に必要最低限のものに限定するという考え方だ。必要以上の権限は、セキュリティリスクを増大させるだけである。インストール時には、デフォルト設定だけでなく、セキュリティガイドラインに沿った適切なアクセス権設定が行われているかを確認する習慣も重要だ。定期的なセキュリティ診断や、システム構成のレビューも、潜在的な脆弱性を発見し、対処するために役立つ。

今回の三菱電機製GENESIS64およびMC Works64の脆弱性は、ソフトウェア製品の導入段階におけるセキュリティ設定の重要性を改めて浮き彫りにした事例だ。システムエンジニアを目指す者にとって、単にシステムを構築するだけでなく、そのシステムが安全であるかを常に意識し、脆弱性に関する情報を収集し、適切な対策を講じる能力は必須である。製品の設計から運用、保守に至るまで、ライフサイクル全体を通じてセキュリティを考慮する視点が求められる。