ラボ環境を管理する管理者は、オシロスコープの製品ラインに重大な欠陥があることが明らかになったことを受けて、ネットワーク設定を再確認することをお勧めします。
SECコンサルトは金曜日、シグレント・テクノロジーズ社製の電子試験装置に重大な影響を与える一連の脆弱性を発見したと発表した。
特に、バグハンターは、イーサネット対応オシロスコープの Siglent SDS 1202X-E デジタル ラインを調査し、これらのボックスには基本的なセキュリティ保護さえ欠けていることを発見しました。
研究者が発見した欠陥の中には、オシロスコープとネットワーク上のデバイス間で、通常は EasyScopeX ソフトウェアを介して、完全に認証も保護もされていない TCP 接続が使用されていること、およびオシロスコープとネットワーク上の他のシステム間で暗号化されていない通信が使用されていることが含まれていました。
「システムには2つのバックドアアカウントが存在します」と研究者らは説明した。「Telnetサービスがポート23で待機しており、攻撃者はLAN経由でオシロスコープにルートとして接続できるのです。」
その結果、ローカル ネットワークにアクセスできる人なら誰でもデバイスにアクセスして改ざんできるようになります。
シグレント社はこの件に関するコメント要請に応じなかった。
これは、接続された IoT デバイスの市場拡大によってもたらされる危険性の、またひとつの例といえます。
ポンはいかがですか？ビンテージオシロスコープでポンはいかがですか？
続きを読む
通常、オシロスコープは管理者が最後に心配する事項ですが、従来は個別に動作していたデバイスに新しい接続機能が追加される場合、基本的なセキュリティ対策が見落とされることは避けられません。
SEC Consult は、攻撃者が侵害を受けたデバイスを起点として他のネットワーク デバイスを攻撃できるという明らかな危険性に加え、脆弱性を利用してオシロスコープ自体の読み取り値に干渉し、妨害行為に便利なルートを提供してしまう可能性もあると指摘しました。
SEC Consultはこの欠陥について、「測定値の悪意ある改変は、このオシロスコープを使用して作成または提供される製品またはサービスに深刻な影響を及ぼす可能性があります。したがって、このデバイスで実行されるすべての手順は信頼できません」と述べています。
この点は特に注目に値します。近年、産業スパイ活動や知的財産権の窃盗攻撃が著しく増加していることが指摘されているからです。ライバル企業の発展を阻害したい企業や、研究開発を妨害したい国家支援団体が、標的施設のエンジニアリング機器に干渉しようとする可能性は否定できません。®
