Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en varios productos de Mitsubishi Electric

Múltiples vulnerabilidades en varios productos de Mitsubishi Electric

Fecha de publicación: 
01/07/2020
Importancia: 
4 - Alta
Recursos afectados: 

Las siguientes versiones de los productos de software de ingeniería de Factory Automation se ven afectadas:

  • CPU Module Logging Configuration Tool, versiones 1.94Y y anteriores;
  • CW Configurator, versiones 1.010L y anteriores;
  • EM Software Development Kit (EM Configurator), versiones 1.010L y anteriores;
  • GT Designer3(GOT2000), versiones 1.221F y anteriores;
  • GX LogViewer, versiones 1.96A y anteriores;
  • GX Works2, versiones 1.586L y anteriores;
  • GX Works3, versiones 1.058L y anteriores;
  • M_CommDTM-HART, versión 1.00A;
  • M_CommDTM-IO-Link, versiones 1.02C y anteriores;
  • MELFA-Works, versiones 4.3 y anteriores;
  • MELSEC-L Flexible High-Speed I/O Control Module Configuration Tool, versiones 1.004E y anteriores;
  • MELSOFT FieldDeviceConfigurator, versiones 1.03D y anteriores;
  • MELSOFT iQ AppPortal, versiones 1.11M y anteriores;
  • MELSOFT Navigator, versiones 2.58L y anteriores;
  • MI Configurator, versiones 1.003D y anteriores;
  • Motion Control Setting, versiones 1.005F y anteriores;
  • MR Configurator2, versiones 1.72A y anteriores;
  • MT Works2, versiones 1.156N y anteriores;
  • RT ToolBox2, versiones 3.72A y anteriores;
  • RT ToolBox3, versiones 1.50C y anteriores.
Descripción: 

Mitsubishi Electric PSIRT (Product Security Incident Response Team) reportó a CISA 2 vulnerabilidades, una de criticidad alta y otra media, de tipo restricción incorrecta de referencia a entidad externa XML (XXE) y consumo de recursos incontrolado, que afectan a varios productos de Factory Automation.

Solución: 

Mitsubishi Electric recomienda que los usuarios afectados descarguen la última versión de cada producto de software del centro de descargas de Mitsubishi Electric y lo actualicen.

Detalle: 
  • La vulnerabilidad podría permitir que un atacante malintencionado envíe un archivo al exterior en el equipo que ejecuta el producto afectado. Se ha asignado el identificador CVE-2020-5602 para esta vulnerabilidad.
  • La vulnerabilidad podría permitir que un atacante malintencionado genere una condición de denegación de servicio (DoS) en el producto afectado. Se ha asignado el identificador CVE-2020-5603 para esta vulnerabilidad.

Encuesta valoración