## Intrado 911 Emergency Gatewayにおける重大なパス・トラバーサル脆弱性が公表される **CISA** は、世界中の緊急サービスインフラストラクチャの主要コンポーネントである **Intrado 911 Emergency Gateway (EGW)** に影響を与える重大な脆弱性に関する勧告を発表しました。 ### 脆弱性の概要 **CVE-2026-6074** として追跡されているこの脆弱性は、攻撃者が認証をバイパスし、EGW管理インターフェースへの不正アクセスを取得できるパス・トラバーサル欠陥です。これにより、システム上の機密ファイルを読み取り、変更、または削除する能力が得られる可能性があります。この脆弱性は、CVSS v3 スコアが 9.8 であり、その重大な深刻度を示しています。 [CSAFを表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-113-06.json) ### 影響を受ける製品 以下のバージョンの **Intrado** EGW が影響を受けます。 * Emergency Gateway 7.x (**CVE-2026-6074**) * Emergency Gateway 6.x (**CVE-2026-6074**) * Emergency Gateway 5.x (**CVE-2026-6074**) ### 技術的詳細 この脆弱性は、パス・トラバーサル条件、特に `'.../...//'` シーケンスの使用に起因しており、攻撃者が意図されたディレクトリ構造の外に移動することを可能にします。これにより、認証メカニズムがバイパスされ、EGW管理インターフェースへのアクセスが付与されます。 関連する CWE (Common Weakness Enumeration) は [CWE-35 Path Traversal: '.../...//'](https://cwe.mitre.org/data/definitions/35.html) です。 ### 影響 この脆弱性が悪用された場合、以下のような深刻な結果をもたらす可能性があります。 * 機密データへの不正アクセス * 重要なシステム構成の変更 * 緊急サービスの中断につながる、不可欠なファイルの削除 ### 推奨される緩和策 CISA は、悪用のリスクを軽減するために以下の対策を推奨しています。 * **ネットワーク露出の最小化:** 制御システムデバイスがインターネットから直接アクセスできないようにしてください。 * **ネットワークセグメンテーションの実装:** 制御システムネットワークをファイアウォールで保護し、ビジネスネットワークから分離してください。 * **セキュアなリモートアクセス:** VPN などのセキュアな方法を使用してリモートアクセスを行い、VPN が最新バージョンに更新されていることを確認してください。 * **影響分析とリスク評価:** 防御策を導入する前に、徹底的な分析を実施してください。 * **サイバーセキュリティ戦略の実装:** 推奨されるサイバーセキュリティ戦略を実装して、ICS アセットを積極的に防御してください。 CISA はまた、ユーザーに対し、ソーシャルエンジニアリング攻撃に注意し、未承諾の電子メールのリンクをクリックしたり、添付ファイルを開いたりしないように警告しています。疑わしい悪意のあるアクティビティを観察した組織は、内部手順に従い、CISA に発見事項を報告してください。 ### 謝辞 CISA は、この脆弱性が匿名の情報源によって報告されたことをacknowledges します。 ### 参考文献 * [CISA ICS Webページ](https://www.cisa.gov/ics) * [ICS-TIP-12-146-01B--Targeted Cyber Intrusion Detection and Mitigation Strategies](https://www.cisa.gov/publication/ics-tip-12-146-01b-targeted-cyber-intrusion-detection-and-mitigation-strategies) * [Recognizing and Avoiding Email Scams](https://www.cisa.gov/insights/recognizing-and-avoiding-email-scams) * [Avoiding Social Engineering and Phishing Attacks](https://www.cisa.gov/insights/avoiding-social-engineering-and-phishing-attacks)