Múltiples vulnerabilidades en múltiples productos de Mitsubishi Electric
Los siguientes productos de software de ingeniería FA (Factory Automation) que establecen comunicación con los equipos MELSEC, FREQROL o GOT:
- C Controller module setting and monitoring tool, todas las versiones;
- CPU Module Logging Configuration Tool, todas las versiones;
- CW Configurator, todas las versiones;
- Data Transfer, todas las versiones;
- EZSocket, todas las versiones;
- FR Configurator, todas las versiones;
- FR Configurator SW3, todas las versiones;
- FR Configurator2, todas las versiones;
- GT Designer3 Version1(GOT1000), todas las versiones;
- GT Designer3 Version1(GOT2000), todas las versiones;
- GT SoftGOT1000 Version3, todas las versiones;
- GT SoftGOT2000 Version1, todas las versiones;
- GX Configurator-DP, versión 7.14Q y anteriores;
- GX Configurator-QP, todas las versiones;
- GX Developer, todas las versiones;
- GX Explorer, todas las versiones;
- GX IEC Developer, todas las versiones;
- GX LogViewer, todas las versiones;
- GX RemoteService-I, todas las versiones;
- GX Works2, versión 1.597X y anteriores;
- GX Works3, Versión 1.070Y y anteriores;
- M_CommDTM-HART, todas las versiones;
- M_CommDTM-IO-Link, todas las versiones;
- MELFA-Works, todas las versiones;
- MELSEC WinCPU Setting Utility, todas las versiones;
- MELSOFT EM Software Development Kit (EM Configurator), todas las versiones;
- MELSOFT Navigator, todas las versiones;
- MH11 SettingTool Version2, todas las versiones;
- MI Configurator, todas las versiones;
- MT Works2, todas las versiones;
- MX Component, todas las versiones;
- Network Interface Board CC IE Control utility, todas las versiones;
- Network Interface Board CC IE Field Utility, todas las versiones;
- Network Interface Board CC-Link Ver.2 Utility, todas las versiones;
- Network Interface Board MNETH utility, todas las versiones;
- PX Developer, todas las versiones;
- RT ToolBox2, todas las versiones;
- RT ToolBox3, todas las versiones;
- Setting/monitoring tools for the C Controller module, todas las versiones;
- SLMP Data Collector, todas las versiones.
El investigador dliangfun ha reportado a Mitsubishi Electric dos vulnerabilidades de severidad alta que podrían permitir a un atacante causar una condición de denegación de servicio.
Actualizar a la última versión de cada producto software:
- GX Configurator-DP, a la versión 7.15R o posterior;
- GX Works2, a la versión 1.600A o posterior;
- GX Works3, a la versión 1.072A o posterior.
Para los productos que no tienen parche por el momento, se recomienda:
- Instalar la versión parcheada de GX Works3 en el ordenador que ejecuta alguno de los productos afectados para la comunicación con MELSEC.
- Ejecutar los productos afectados con una cuenta que no tenga privilegios de administrador.
- Instalar un software antivirus en el ordenador donde se ejecutan los productos afectados.
- Limitar al mínimo la exposición en la red de los equipos o sistemas de control y restringir el acceso a ellos desde redes o hosts no confiables.
- Utilizar firewalls para aislar el entorno TO del TI.
- Utilizar una VPN para cuando el acceso remoto sea necesario.
Aprovechando una vulnerabilidad de desbordamiento de búfer o una gestión inadecuada del parámetro de longitud, un atacante podría causar una condición de denegación de servicio al hacer un spoofing de los equipos MELSEC, FREQROL o GOT y enviar paquetes de respuesta especialmente diseñados. Se han asignado los identificadores CVE-2021-20587 y CVE-2021-20588 para cada una de las vulnerabilidades.
