ctrlX OS の Web アプリケーションの「証明書とキー」機能に脆弱性が存在し、認証済み (権限の低い) 攻撃者が、細工された HTTP リクエストを介して、任意のファイルシステムパスに任意の証明書を書き込む可能性があります。

この脆弱性は、攻撃者がシステム内の証明書を不正に書き換えることを可能にし、その結果、認証のバイパス、なりすまし、機密情報の漏洩といった深刻な影響を引き起こす可能性があります。攻撃者は、書き換えられた証明書を利用して、システムへの不正アクセスを試みたり、他のサービスへの攻撃の足がかりとして利用したりする可能性があります。特に、証明書が重要な認証メカニズムとして利用されている環境では、この脆弱性の悪用による影響は甚大となる可能性があります。この脆弱性は、認証された攻撃者であれば比較的容易に悪用できる可能性があり、攻撃の成功率は高いと考えられます。

Organizations utilizing ctrlX OS Device Admin in industrial control systems or other critical infrastructure environments are particularly at risk. Environments with weak authentication controls or shared user accounts are also more vulnerable. Any deployment relying on the integrity of certificates managed through the Device Admin web application should be considered at risk.

1. 2025-04-30Disclosure

   disclosure

1. 予約済み2025-01-20
2. 公開日2025-04-30
3. EPSS 更新日2026-03-23

まず、ctrlX OS Device Adminをバージョン2.6.9にアップデートすることを強く推奨します。アップデートが直ちに適用できない場合は、一時的な緩和策として、ウェブアプリケーションへのアクセスを制限するファイアウォールルールを実装し、証明書書き込みに関連するHTTPリクエストをブロックすることを検討してください。また、ファイルシステムへの書き込み権限を最小限に抑え、不要なディレクトリへのアクセスを制限することで、攻撃の影響範囲を限定することができます。アップデート後、証明書が正しく機能していることを確認し、不正な証明書が書き込まれていないかを確認してください。