Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en múltiples productos de Mitsubishi Electric

Múltiples vulnerabilidades en múltiples productos de Mitsubishi Electric

Fecha de publicación: 
19/02/2021
Importancia: 
4 - Alta
Recursos afectados: 

Los siguientes productos de software de ingeniería FA (Factory Automation) que establecen comunicación con los equipos MELSEC, FREQROL o GOT:

  • C Controller module setting and monitoring tool, todas las versiones;
  • CPU Module Logging Configuration Tool, todas las versiones;
  • CW Configurator, todas las versiones;
  • Data Transfer, todas las versiones;
  • EZSocket, todas las versiones;
  • FR Configurator, todas las versiones;
  • FR Configurator SW3, todas las versiones;
  • FR Configurator2, todas las versiones;
  • GT Designer3 Version1(GOT1000), todas las versiones;
  • GT Designer3 Version1(GOT2000), todas las versiones;
  • GT SoftGOT1000 Version3, todas las versiones;
  • GT SoftGOT2000 Version1, todas las versiones;
  • GX Configurator-DP, versión 7.14Q y anteriores;
  • GX Configurator-QP, todas las versiones;
  • GX Developer, todas las versiones;
  • GX Explorer, todas las versiones;
  • GX IEC Developer, todas las versiones;
  • GX LogViewer, todas las versiones;
  • GX RemoteService-I, todas las versiones;
  • GX Works2, versión 1.597X y anteriores;
  • GX Works3, Versión 1.070Y y anteriores;
  • M_CommDTM-HART, todas las versiones;
  • M_CommDTM-IO-Link, todas las versiones;
  • MELFA-Works, todas las versiones;
  • MELSEC WinCPU Setting Utility, todas las versiones;
  • MELSOFT EM Software Development Kit (EM Configurator), todas las versiones;
  • MELSOFT Navigator, todas las versiones;
  • MH11 SettingTool Version2, todas las versiones;
  • MI Configurator, todas las versiones;
  • MT Works2, todas las versiones;
  • MX Component, todas las versiones;
  • Network Interface Board CC IE Control utility, todas las versiones;
  • Network Interface Board CC IE Field Utility, todas las versiones;
  • Network Interface Board CC-Link Ver.2 Utility, todas las versiones;
  • Network Interface Board MNETH utility, todas las versiones;
  • PX Developer, todas las versiones;
  • RT ToolBox2, todas las versiones;
  • RT ToolBox3, todas las versiones;
  • Setting/monitoring tools for the C Controller module, todas las versiones;
  • SLMP Data Collector, todas las versiones.
Descripción: 

El investigador dliangfun ha reportado a Mitsubishi Electric dos vulnerabilidades de severidad alta que podrían permitir a un atacante causar una condición de denegación de servicio. 

Solución: 

Actualizar a la última versión de cada producto software:

  • GX Configurator-DP, a la versión 7.15R o posterior;
  • GX Works2, a la versión 1.600A o posterior;
  • GX Works3, a la versión 1.072A o posterior.

Para los productos que no tienen parche por el momento, se recomienda:

  • Instalar la versión parcheada de GX Works3 en el ordenador que ejecuta alguno de los productos afectados para la comunicación con MELSEC.
  • Ejecutar los productos afectados con una cuenta que no tenga privilegios de administrador.
  • Instalar un software antivirus en el ordenador donde se ejecutan los productos afectados.
  • Limitar al mínimo la exposición en la red de los equipos o sistemas de control y restringir el acceso a ellos desde redes o hosts no confiables.
  • Utilizar firewalls para aislar el entorno TO del TI.
  • Utilizar una VPN para cuando el acceso remoto sea necesario.
Detalle: 

Aprovechando una vulnerabilidad de desbordamiento de búfer o una gestión inadecuada del parámetro de longitud, un atacante podría causar una condición de denegación de servicio al hacer un spoofing de los equipos MELSEC, FREQROL o GOT y enviar paquetes de respuesta especialmente diseñados. Se han asignado los identificadores CVE-2021-20587 y CVE-2021-20588 para cada una de las vulnerabilidades.

Encuesta valoración