ビル自動化プロトコル KNX に脆弱性（CVE-2023-4346）― 攻撃者が機器を初期化し、鍵を掛けて締め出せる

1KNXは建物を動かすための規格

KNXは、照明、空調、ブラインド、入退室などの設備を一つのネットワークでつなぎ、制御するための規格です。オフィスビル、病院、工場、集合住宅などで用いられます。情報系のネットワークと違い、こうした設備系のネットワークは「動き続けること」が最優先で、機器の寿命も10年、20年と長くなります。設計時の前提が、その長さのあいだ据え置かれるという性格を持ちます。

2「ロックが厳しすぎる」ことが脆弱性になる

CWE-645 は、アカウントのロック機構が過度に制限的であることを指す分類です。通常、ロックは総当たり攻撃を防ぐための防御機能です。しかし解除の手段が乏しい設計だと、攻撃者はロックを意図的に発生させることで正当な管理者を締め出せます。本件の記載はさらに踏み込んでおり、すべての機器を消去したうえで BCU鍵（機器を保護するための鍵）を攻撃者側で設定できるとされています。設備を止めるだけでなく、復旧のための入口も塞がれる形です。

3情報系とは対処の前提が違う

設備系のネットワークでは、更新のために機器を止めることが建物の運用停止に直結します。加えて、施工時に設定されたまま誰も触っていない機器が長期間動き続けることも珍しくありません。カタログが「追加の安全設定が有効でない場合」と条件を付けているのは、規格側に対策手段が用意されていることを示しますが、それが現場で有効化されているかは別の話です。

是正期限は追加から14日と、当サイトが収録する3日の項目より長く設定されています。

4情報系と設備系では前提が違う

建物の設備を制御するネットワークは、情報システムのネットワークとは運用の前提が異なります。同じ脆弱性という言葉でも、失われるものと、直すための条件が変わります。

本件の記載はさらに踏み込んでおり、すべての機器を消去したうえでBCU鍵を攻撃者側で設定できるとされています。設備を止めるだけでなく、復旧のための入口も塞がれる形です。カタログが追加の安全設定が有効でない場合と条件を付けているのは、規格側に対策手段が用意されていることを示しますが、それが現場で有効化されているかは別の話です。