Home / Node / Múltiples vulnerabilidades en varios productos de Mitsubishi Electric

Múltiples vulnerabilidades en varios productos de Mitsubishi Electric

Publication date: 
10/30/2020
Importance: 
5 - Crítica
Affected resources: 

Las siguientes versiones de MELSEC iQ-R Series están afectadas:

  • R 00/01/02 CPU, versiones de firmware 20 y anteriores;
  • R 04/08/16/32/120 (EN) CPU, versiones de firmware 52 y anteriores;
  • R 08/16/32/120 SFCPU, versiones de firmware 22 y anteriores;
  • R 08/16/32/120 PCPU, todas las versiones;
  • R 08/16/32/120 PSFCPU, todas las versiones;
  • R 16/32/64 MTCPU, todas las versiones.

Los siguientes módulos de MELSEC iQ-R Series están afectados:

  • EtherNet/IP Network Interface Module, RJ71EIP91: si los primeros 2 dígitos del número de serie son 02 o anteriores;
  • PROFINET IO Controller Module, RJ71PN92: si los primeros 2 dígitos del número de serie son 01 o anteriores;
  • High Speed Data Logger Module, RD81DL96: si los primeros 2 dígitos del número de serie son 08 o anteriores;
  • MES Interface Module, RD81MES96N: si los primeros 2 dígitos del número de serie son 04 o anteriores;
  • OPC UA Server Module, RD81OPC96: si los primeros 2 dígitos del número de serie son 04 o anteriores.

Las siguientes versiones de MELSEC Q Series están afectadas:

  • Q03 UDECPU, Q 04/06/10/13/20/26/50/100 UDEHCPU, número de serie 22081 y anteriores;
  • Q 03/04/06/13/26 UDVCPU, número de serie 22031 y anteriores;
  • Q 04/06/13/26 UDPVCPU, número de serie 22031 y anteriores;
  • Q 172/173 DCPU hasta Q 172/173 DCPU-S1, todas las versiones;
  • Q 172/173 DSCPU, todas las versiones;
  • Q 170 MCPU, todas las versiones;
  • Q 170 MSCPU hasta Q 170 MSCPU (-S1), todas las versiones;
  • MR-MQ100, todas las versiones.

Las siguientes versiones de MELSEC L Series están afectadas:

  • L 02/06/26 CPU (-P), L 26 CPU - (P) BT, todas las versiones.
Description: 

Mitsubishi Electric ha reportado 7 vulnerabilidades, 2 con severidad crítica, 4 altas y 1 media, de tipos restricción incorrecta de operaciones dentro de los límites de un búfer de memoria, control de acceso inadecuado, fijación de sesión, desreferencia a puntero nulo, inyección de argumento, consumo descontrolado de recursos y errores de gestión de recursos.

Solution: 

Consultar la sección de Countermeasures de los dos avisos oficiales del fabricante (2020-012_en y 2020-013_en) para aplicar las actualizaciones adecuadas.

Detail: 

Las vulnerabilidades con severidad crítica podrían permitir que un atacante remoto, no autenticado, detuviese las funciones de red de los productos o ejecutase un programa malicioso a través de un paquete especialmente diseñado. Se han asignado los identificadores CVE-2020-5653 y CVE-2020-5656 para estas vulnerabilidades.

Para el resto de vulnerabilidades, se han asignado los identificadores: CVE-2020-5654, CVE-2020-5655, CVE-2020-5657, CVE-2020-5652 y CVE-2020-5658.

Encuesta valoración