jvn.jp Open in urlscan Pro
13.249.171.101  Public Scan

Form analysis
0 forms found in the DOM

Text Content

公開日：2022/05/17　最終更新日：2022/05/20


JVNVU#95926817
三菱電機製MELSEC IQ-FシリーズCPUユニットにおける複数の脆弱性


三菱電機製MELSEC iQ-FシリーズCPUユニットには、複数の脆弱性が存在します。

 * MELSEC iQ-Fシリーズ
   * FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS
     * 1.270より前のバージョン
   * FX5UC-xMy/z x=32,64,96, y=T,R, z=D,DSS
     * 1.270より前のバージョン
   * FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS
     * 1.270より前のバージョン
   * FX5UJ-xMy/z x=24,40,60, y=T,R, z=ES,ESS
     * 1.030より前のバージョン

バージョンの確認方法は、開発者が提供する次の情報を参照してください。
 * MELSEC iQ-F FX5S/FX5UJ/FX5U/FX5UCユーザーズマニュアル（ハードウェア編）「9.3 エンジニアリングツールによる確認」



三菱電機株式会社が提供するMELSEC iQ-FシリーズCPUユニットには、次の複数の脆弱性が存在します。

 * 不適切な入力確認（CWE-20）- CVE-2022-25161
   
   CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H 基本値: 8.6

 * 不適切な入力確認（CWE-20）- CVE-2022-25162
   
   CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L 基本値: 5.3



遠隔の第三者によって送信された不正なパケットを当該製品が受信することで、当該製品の正規ユーザによるプログラム実行ないし通信が、サービス運用妨害（DoS）状態となる可能性があります。
なお、CVE-2022-25161の脆弱性によるサービス運用妨害（DoS）状態からの復旧には、当該製品のリセットが必要です。

アップデートする
開発者が提供する情報をもとに、アップデートしてください。
対策済みバージョンは次の通りで、ファームウェアアップデート情報ファイルはこちらから入手できます。

 * MELSEC iQ-Fシリーズ
   * FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS 製造番号 17X****以降（*1）
     * バージョン 1.270およびそれ以降
   * FX5UC-xMy/z x=32,64,96, y=T,R, z=D,DSS 製造番号 17X****以降（*2）
     * バージョン 1.270およびそれ以降
   * FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS
     * バージョン 1.270およびそれ以降
   * FX5UJ-xMy/z x=24,40,60, y=T,R, z=ES,ESS
     * バージョン 1.030およびそれ以降

開発者によると、（*1）および（*2）の製造番号「179****」以前については、近日中に対応予定とのことです。
アップデート方法等の詳細については、開発者が提供する次の情報をご確認ください。
 * MELSEC iQ-F FX5ユーザーズマニュアル(応用編) 「5 ファームウェアアップデート機能」

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

 * 信頼できないネットワークやホストを経由した通信を行う際には、仮想プライベートネットワーク（VPN）を設置し通信経路を暗号化する
 * ファイアウォールやIPフィルタ機能を使用し、当該製品への接続を最小限に抑え、信頼できるネットワークやホストからのみアクセスできるよう制限する。IPフィルタ機能については、開発者が提供する次のマニュアルを参照する。
   * MELSEC iQ-F FX5ユーザーズマニュアル(Ethernet通信編) 「12.1 IP フィルタ機能」

詳しくは、開発者が提供する情報をご確認ください。



ベンダ リンク 三菱電機株式会社 MELSEC iQ-F シリーズ CPU ユニットにおける 複数のサービス拒否(DoS)の脆弱性

 1. ICS Advisory (ICSA-22-139-01)
    Mitsubishi Electric MELSEC iQ-F Series









この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia








2022/05/20 [参考情報]にICS Advisoryのリンクを追加しました



 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 
 * 

Copyright (c) 2000-2022 JPCERT/CC and IPA. All rights reserved.