Sierra Wireless AirLink ALEOS の危険なファイル受け入れ（CVE-2018-4063）― 警告は7年前に出ていた

1現場に据え置かれる通信機器

AirLink は、産業用の場所に据えて通信を確保するための機器です。設置されると、多くの場合は動き続けます。人が常時見ている端末とは違い、更新のために止めることも簡単ではありません。この種の機器は、設置した年の状態のまま何年も稼働することがあります。脆弱性の側から見れば、直されない時間が長いということです。

1. 12018年識別子が採番される
2. 22019年産業制御システム向けの勧告と、製造元の技術報が公表される
3. 3その後対象機種は販売終了に関する資料が出る段階に入る
4. 42025年12月悪用が確認された脆弱性としてカタログへ追加される

参照先を並べると、警告そのものは早い段階で出ていたことが分かります。それでもカタログへの追加は7年後です。カタログは悪用が確認されたものを載せる仕組みなので、追加が遅いことは、危険が新しく生まれたことを意味しません。古い警告が、いまも有効なまま残っているという読み方が近いはずです。

2「認証が要る」という条件をどう読むか

説明には、悪用にあたって認証された HTTP 要求が必要だと書かれています。一見すると条件が厳しく見えますが、産業用の機器では初期の認証情報が変更されないまま運用されることがあり、また保守のために共有された認証情報が使われ続けることもあります。認証が必要だという条件は、その認証がどれだけ守られているかと組にして読む必要があります。カタログはそこまでは書きません。

3カタログ全体で1件だけ

この製造元の記録はカタログ全体で1件です。よく知られた大手の製品が並ぶなかで、産業用の機器がまれに現れます。件数が少ないということは、比較対象が少ないということでもあります。同じ製造元の別の項目と並べて傾向を読む、という方法が使えません。1件しかない記録は、その1件だけで判断するほかありません。

4直す道と、止める道

この項目も、製品が保守終了に至っている可能性が示されています。措置としては、緩和策の適用か、それが得られない場合の使用中止が挙げられます。産業用の現場では、止めることが最も難しい選択です。更新もできず、止めることも難しいという状態が、7年という間隔の裏側にあります。