Emerson Ovation の複数のプロトコルに認証がない（CVE-2022-29966）: CVSS v4.0 9.3、制御装置の設定変更やサービス妨害の恐れ

Emerson Ovation の複数のプロトコルに認証がなく、攻撃者が制御装置の設定を変更したり、サービス妨害（DoS）状態を起こしたりできる恐れがあるとして、CVE-2022-29966 が 2026-11-03 に NVD に登録されました。弱点の種類は CWE-306（重要な機能に対する認証の欠如）です。NVD の説明には、対象の版も修正版も書かれていません。

何が起きるか

• Ovation（発電所などで使われる Emerson の分散制御システム）が使う複数の通信プロトコルに、認証の仕組みがない。
• ネットワークから届く攻撃者が、制御装置の設定を変えたり、サービス妨害を起こしたりできる恐れがあるとされる。
• どのプロトコルか、どの版が対象かは、NVD の説明に書かれていません。

数値と severity

• CVSS v4.0 は 9.3（CRITICAL）。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから、低い複雑さで、権限も利用者の操作も要らず、機密性・完全性・可用性への影響がいずれも高いことを示します。評価元は ics-cert@hq.dhs.gov で、NVD 上は Secondary です。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

読むときの注意

NVD の参照先は CISA の ICS 勧告 ICSA-24-158-02 です。勧告の番号からは 2024 年 6 月ごろの勧告に結び付く古い CVE 番号が今回登録されたものと見られますが、本稿では勧告を開いておらず、断定はしません。登録が今回でも、問題自体は以前から知られていた可能性があります。

対策

• 制御システムのネットワークをインターネットから切り離す。外部から Ovation に届く経路がないかを確認する。
• 制御系と情報系の間をファイアウォールで区切り、Ovation が使うプロトコルの通信元を限定する。
• 影響する版と修正の有無は、ベンダー（Emerson）と CISA の勧告で確認する。本稿では開いていません。
• 勧告に緩和策が書かれている場合は、それに従う。

未確認の点

• 影響する版、修正版、対象のプロトコル。
• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 勧告 ICSA-24-158-02 の中身と、今回の登録との関係。
• NVD の最終評価、EPSS。

出典

• NVD: CVE-2022-29966
• CISA ICS 勧告 ICSA-24-158-02（NVD の参照先。未開封）
• FIRST EPSS（CVE-2022-29966 はデータなし）