--- title: "Emerson Ovation の複数のプロトコルに認証がない（CVE-2022-29966）: CVSS v4.0 9.3、制御装置の設定変更やサービス妨害の恐れ" url: https://n-t-p.io/worldsecurity/articles/emerson-ovation-missing-authentication-cve-2022-29966 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2022-29966 --- # Emerson Ovation の複数のプロトコルに認証がない（CVE-2022-29966）: CVSS v4.0 9.3、制御装置の設定変更やサービス妨害の恐れ > **TL;DR:** Emerson Ovation の複数のプロトコルに認証がなく、制御装置の設定変更やサービス妨害を起こせる恐れがある欠陥（CVE-2022-29966、CVSS v4.0 9.3、CWE-306）。認証不要で 9 以上のため critical。KEV 未掲載、EPSS はデータなし。対象版・修正版・悪用の有無は未確認。 **要点** - Ovation の複数のプロトコルに認証がなく、制御装置の設定変更やサービス妨害が起こせる恐れがある（CVE-2022-29966、CWE-306）。 - CVSS v4.0 は 9.3（AV:N・PR:N・UI:N、評価元 ics-cert@hq.dhs.gov）。NVD の状態は Received。 - 対策は、制御系ネットワークをインターネットから切り離し、通信元を限定すること。 - KEV には載っておらず、EPSS はデータなし。 - 対象版・修正版・悪用の有無・勧告の中身は未確認。 Emerson Ovation の複数のプロトコルに認証がなく、攻撃者が制御装置の設定を変更したり、サービス妨害（DoS）状態を起こしたりできる恐れがあるとして、CVE-2022-29966 が 2026-11-03 に NVD に登録されました。弱点の種類は CWE-306（重要な機能に対する認証の欠如）です。NVD の説明には、対象の版も修正版も書かれていません。 ## 何が起きるか - Ovation（発電所などで使われる Emerson の分散制御システム）が使う複数の通信プロトコルに、認証の仕組みがない。 - ネットワークから届く攻撃者が、制御装置の設定を変えたり、サービス妨害を起こしたりできる恐れがあるとされる。 - どのプロトコルか、どの版が対象かは、NVD の説明に書かれていません。 ## 数値と severity - CVSS v4.0 は 9.3（CRITICAL）。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから、低い複雑さで、権限も利用者の操作も要らず、機密性・完全性・可用性への影響がいずれも高いことを示します。評価元は ics-cert@hq.dhs.gov で、NVD 上は Secondary です。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証が不要で CVSS が 9 以上のため、severity は critical とします。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。 ## 読むときの注意 NVD の参照先は CISA の ICS 勧告 ICSA-24-158-02 です。勧告の番号からは 2024 年 6 月ごろの勧告に結び付く古い CVE 番号が今回登録されたものと見られますが、本稿では勧告を開いておらず、断定はしません。登録が今回でも、問題自体は以前から知られていた可能性があります。 ## 対策 - 制御システムのネットワークをインターネットから切り離す。外部から Ovation に届く経路がないかを確認する。 - 制御系と情報系の間をファイアウォールで区切り、Ovation が使うプロトコルの通信元を限定する。 - 影響する版と修正の有無は、ベンダー（Emerson）と CISA の勧告で確認する。本稿では開いていません。 - 勧告に緩和策が書かれている場合は、それに従う。 ## 未確認の点 - 影響する版、修正版、対象のプロトコル。 - 実際に悪用されているか、規模はどの程度か。 - 概念実証（PoC）が公開されているか。 - 勧告 ICSA-24-158-02 の中身と、今回の登録との関係。 - NVD の最終評価、EPSS。 ## 出典 - NVD: CVE-2022-29966 - CISA ICS 勧告 ICSA-24-158-02（NVD の参照先。未開封） - FIRST EPSS（CVE-2022-29966 はデータなし） ## 出典 - [NVD CVE-2022-29966](https://nvd.nist.gov/vuln/detail/CVE-2022-29966) — NIST NVD - [CISA ICSA-24-158-02（NVD の参照先。未開封）](https://www.cisa.gov/news-events/ics-advisories/icsa-24-158-02) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2022-29966) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/emerson-ovation-missing-authentication-cve-2022-29966