2022] Múltiples vulnerabilidades en productos Mitsubishi Electric

Fecha de publicación 16/12/2021

Importancia

4 - Alta

Recursos Afectados

GX Works2, versión 1.606G y anteriores;
MELSOFT Navigator, todas las versiones;
EZSocket, todas las versiones;
MELSEC Series Remote I/O, todas las versiones de los modelos:
- NZ2FT-EIP;
- NZ2FT-MT;
- NZ2FT-PN;
- NZ2FT-GN;
- NZ2FT-PBV;
- NZ2FT-BT.

Descripción

Se han identificado 6 vulnerabilidades de denegación de servicio (DoS) en productos de Mitsubishi Electric, concretamente 3 de severidad alta y 3 bajas.

Solución

GX Works2, versión 1.610L o superior;
para los productos de MELSEC, el fabricante publicará las versiones correctoras en el futuro.

[Actualización 30/06/2022] MELSOFT Navigator, versión 2.86Q o superior.

Detalle

Existen múltiples vulnerabilidades de denegación de servicio (DoS) debido a una validación de entrada inadecuada en la pila de protocolos TCP/IP de MELSEC Series Remote I/O. Un atacante remoto podría provocar una condición de DoS en la E/S remota de la serie MELSEC mediante el envío de paquetes especialmente diseñados. Se han asignado los identificadores CVE-2020-35683, CVE-2020-35684 y CVE-2021-31401 para estas vulnerabilidades altas.

Para el resto de vulnerabilidades de severidad baja se han asignado los identificadores: CVE-2021-20606, CVE-2021-20607 y CVE-2021-20608.