Source: https://thehackernews.com/2025/07/critical-flaws-in-niagara-framework.html
🛡 概要
ナイアガラフレームワークは、トリディウム社が開発した、さまざまなデバイスを管理・制御するためのプラットフォームです。最近、Nozomi Networksによって、同フレームワークに対する深刻な脆弱性が発見されました。これらの脆弱性は、同じネットワーク上にいる攻撃者によって悪用される可能性があり、特に設定ミスがあれば、暗号化が無効化され、システムへの侵入が容易になります。具体的には、CVE-2025-3936からCVE-2025-3945、CVE-2025-32399、CVE-2025-32405までの脆弱性が特定されています。これらは、最大CVSSスコア9.8を持ち、ナイアガラシステムの運用に深刻な影響を与える可能性があります。
🔍 技術詳細
これらの脆弱性は、特にCVE-2025-3936、CVE-2025-3937、CVE-2025-3938、CVE-2025-3941、CVE-2025-3944、CVE-2025-3945の6つが重要です。例えば、CVE-2025-3936は重要リソースに対する不適切な権限割り当てが原因で、攻撃者が不正にアクセスできる可能性があります。また、CVE-2025-3943は、GETリクエストメソッドを使用した場合に機密情報が漏洩するリスクを抱えています。これらの脆弱性は、適切に設定されていない場合に特に悪用されやすく、攻撃者はクロスサイトリクエストフォージェリ（CSRF）攻撃を実行することができます。これにより、管理者のセッションが盗まれ、システムに対する完全な権限を得ることが可能となります。
⚠ 影響
ナイアガラフレームワークの脆弱性は、システムの運用に深刻な影響を及ぼす可能性があります。特に、設定が不適切な場合、攻撃者はネットワーク内で横移動を行い、システムを完全に制御することができるようになります。これにより、安全性や生産性が損なわれ、サービスの継続性が脅かされる可能性があります。また、これらの脆弱性は、重要なインフラやIoT技術とITネットワークを接続することが多いため、高価値のターゲットとなり得ます。具体的には、CVE-2025-32399やCVE-2025-32405などのメモリ破損の脆弱性も発見されており、これらが悪用されるとサービス拒否（DoS）攻撃を引き起こす可能性があります。
🛠 対策
トリディウム社は、ナイアガラフレームワークのバージョン4.14.2u2、4.15.u1、4.10u.11において、これらの脆弱性を修正しました。システム管理者は、これらの新しいバージョンにアップデートし、設定ガイドラインに従ってシステムを適切に構成することが重要です。また、セキュリティパッチの適用や、定期的な脆弱性スキャンを行うことで、潜在的なリスクを軽減することができます。さらに、ユーザー教育を通じて、CSRF攻撃などの手法についての理解を深め、管理者が不審なリンクをクリックしないようにすることも有効な対策です。
