JVNDB-2016-007661
|
三菱電機 MELSEC-Q シリーズの Ethernet インターフェースモジュールに複数の脆弱性
|
三菱電機株式会社が提供する MELSEC-Q シリーズの Ethernet インターフェースモジュールには、次の複数の脆弱性が存在します。
なお、これらの脆弱性を使用した攻撃コードが公開されています。
不完全または危険な暗号化アルゴリズムの使用 (CWE-327) - CVE-2016-8370
通信データに含まれるパスワードは弱い暗号化アルゴリズムで暗号化されています。
外部からの操作の制限不備 (CWE-412) - CVE-2016-8368
遠隔の第三者によってポート 5002/TCP 経由で PLC に接続され、結果としてサービス運用妨害 (DoS) 攻撃を受ける可能性があります。
|
CVSS v3 による深刻度 基本値: 8.6 (重要) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 高
- 完全性への影響(I): なし
- 可用性への影響(A): なし
CVSS v2 による深刻度 基本値: 7.8 (危険) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 全面的
- 完全性への影響(I): なし
- 可用性への影響(A): なし
上記は CVE-2016-8370 の評価内容です。
CVE-2016-8368 については JVNVU#99901500 をご確認ください。
|
次の MELSEC-Q シリーズの Ethernet インターフェースモジュールが影響を受けます。
|
三菱電機
- QJ71E71-100 のすべてのバージョン
- QJ71E71-B2 のすべてのバージョン
- QJ71E71-B5 のすべてのバージョン
|
|
遠隔の第三者によって、パスワードを取得されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
|
[アップデートし、適切な設定を行う]
開発者が提供する情報をもとに、最新版へアップデートし、適切な送信元からの通信のみを許可するように、IP フィルタリング機能の設定を行ってください。また、信頼できない第三者に通信データを傍受されないようネットワーク構成を工夫する、通信データの内容を解析されないよう通信経路を暗号化する、などの対策を行ってください。
開発者によると、シリアル番号 18072 およびそれ以降の製造番号をもつ機器では IP フィルタリング機能を実装しているとのことです。また、IP フィルタリング機能の使用や、ファイアウォールの内側に製品を置くことを推奨しています。
|
三菱電機
|
- 外部からの操作の制限不備(CWE-412) [IPA評価]
- リソース管理の問題(CWE-399) [NVD評価]
- 不完全、または危険な暗号アルゴリズムの使用(CWE-327) [NVD評価]
|
- CVE-2016-8370
- CVE-2016-8368
|
- JVN : JVNVU#99901500
- National Vulnerability Database (NVD) : CVE-2016-8370
- National Vulnerability Database (NVD) : CVE-2016-8368
- ICS-CERT ADVISORY : ICSA-16-336-03
|
- [2017年03月09日]
掲載
[2017年04月05日]
CWE による脆弱性タイプ一覧:CWE-ID を追加
|