【活用ガイド】

JVNDB-2021-002899

三菱電機製 MELSEC iQ-R シリーズ C 言語コントローラユニットにおけるリソース枯渇の脆弱性

概要

三菱電機株式会社が提供する MELSEC iQ-R シリーズ C 言語コントローラユニットには、リソース枯渇の脆弱性（CWE-400、CVE-2021-20600）が存在します。

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 6.8 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.1 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 全面的
影響を受けるシステム


三菱電機
  • R12CCPU-V ファームウェア バージョン "16" およびそれ以前

想定される影響

C 言語コントローラユニットの起動中に、遠隔の第三者から短時間に大量のパケットを送信されると、システム WDT エラーが発生してC言語コントローラユニットが起動しなくなる可能性があります。なお、復旧にはシステムのリセットが必要です。
開発者によると、これは C 言語コントローラユニットの起動中に短時間で大量のパケットを受信した場合にのみ発生する現象であり、正常起動後には発生しないとのことです。
詳しくは、開発者が提供する情報をご確認ください。
対策

[アップデートする]
開発者が提供する情報をもとに、ファームウェアをアップデートしてください。
開発者は本脆弱性に対応した次のファームウェアバージョンを提供しています。

　* R12CCPU-V ファームウェアバージョン"17"およびそれ以降

[ワークアラウンドを実施する]
アップデートが提供されるまでの間、次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
開発者によると、本脆弱性に対するアップデートは、準備が整い次第リリースするとのことです。

　* C 言語コントローラユニットの起動中にシステム WDT エラーが発生した場合は、C 言語コントローラユニットの LAN ケーブルを抜き起動する。C 言語コントローラユニットの正常起動を確認した後に、再度 LAN ケーブルを接続する。

開発者によると、上記エラーの発生有無に関わらず、次の回避策を適用することを推奨するとのことです。

　* 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク (VPN) 等を使用する
　* 当該製品を LAN 内で使用し、信頼できないネットワークやホストからのアクセスをファイアウォールでブロックする

詳しくは、開発者が提供する情報をご確認ください。
ベンダ情報

三菱電機
CWEによる脆弱性タイプ一覧  CWEとは?

  1. リソースの枯渇(CWE-400) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-20600
参考情報

  1. JVN : JVNVU#94914666
  2. National Vulnerability Database (NVD) : CVE-2021-20600
  3. ICS-CERT ADVISORY : ICSA-21-280-04
更新履歴

  • [2021年10月08日]
      掲載
  • [2021年10月15日]
      参考情報：ICS-CERT ADVISORY (ICSA-21-280-04) を追加
  • [2021年10月29日]
      想定される影響：内容を更新
  • [2022年07月08日]
      影響を受けるシステム：内容を更新
      対策：内容を更新
      参考情報：National Vulnerability Database (NVD) (CVE-2021-20600) を追加

公表日2021/10/07
登録日2021/10/08
最終更新日2022/07/08