JVNDB-2022-002833
|
三菱電機製 MELSEC iQ-R シリーズおよび iQ-L シリーズ、MELIPC シリーズの Ethernet ポート におけるリソースの不適切なシャットダウンおよびリリースの脆弱性
|
|
三菱電機製 MELSEC iQ-R および iQ-L シリーズ CPU ユニットならびに MELIPC シリーズの Ethernet ポートには、リソースの不適切なシャットダウンおよびリリースの脆弱性（CWE-404、CVE-2022-33324）が存在します。
この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、 JPCERT/CC が開発者との調整を行いました。
|
|
CVSS v3 による深刻度
基本値: 7.5 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): なし
- 可用性への影響(A): 高
|
|
|
三菱電機
- MELIPC シリーズ MI5122-VW ファームウェアバージョン "07" およびそれ以前
- MELSEC iQ-L シリーズ （海外一部地域専用品）L04/08/16/32HCPU ファームウェアバージョン"05"およびそれ以前
- MELSEC iQ-R シリーズ R00/01/02CPU ファームウェアバージョン "32" およびそれ以前
- MELSEC iQ-R シリーズ R04/08/16/32/120(EN)CPU ファームウェアバージョン "65" およびそれ以前
- MELSEC iQ-R シリーズ R08/16/32/120SFCPU ファームウェアバージョン "29" およびそれ以前
- MELSEC iQ-R シリーズ R12CCPU-V ファームウェアバージョン "17" およびそれ以前
- MELSEC iQ-R シリーズ R08/16/32/120PSFCPU ファームウェアバージョン"08"およびそれ以前
|
ファームウェアバージョンの確認方法は、次のマニュアルを参照してください。マニュアルは、次のサイトからダウンロードできます。
ダウンロード | 三菱電機FA (MELSEC iQ-L シリーズ以外 )
Download | MITSUBISHI ELECTRIC Factory Automation (MELSEC iQ-L シリーズ )
* MELSEC iQ-R ユニット構成マニュアル「付1 製造情報・ファームウェアバージョン」
* MELSEC iQ-L Module Configuration Manual "Appendix 1 Checking Production Information and Firmware Version"
* MELIPC MI5000 シリーズ ユーザーズマニュアル(スタートアップ編)「付17 製造情報・ファームウェアバージョン」
|
|
遠隔の第三者によって細工されたパケットを受信すると、当該製品の Ethernet 通信がサービス運用妨害（DoS）状態となる可能性があります。
なお、復旧には当該製品のリセットが必要になります。
|
|
[アップデートする]
MELSEC iQ-R シリーズの該当製品を使用している場合：
次に示すマニュアルから、ファームウェアアップデートの適用が可能か否かの確認をし、可能な場合は、開発者が提供する情報をもとに対策済みバージョンにアップデートしてください。
対策済みバージョンは「ダウンロード | 三菱電機FA」から入手してください。
* MELSEC iQ-R ユニット構成マニュアル「付2 ファームウェアアップデート機能」
[ワークアラウンドを実施する]
MELSEC iQ-R シリーズのうちファームウェアアップデートが適用できないバージョンまたは MELSEC iQ-L シリーズおよび MELIPC シリーズを使用している場合：
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
* 当該製品をインターネットに接続する場合は、ファイアウォールの設置や仮想プライベートネットワーク（VPN）を使用し、不正なアクセスを制限する
* 当該製品を LAN 内で使用し、当該製品への接続を最小限に抑え、信頼できるネットワークやホストからのみアクセスできるよう制限する
* 当該製品の IP フィルタ機能（*1）を使用し、接続可能な IP アドレスを適切に制限する
（*1）IP フィルタ機能については、開発者が提供する次のマニュアルを参照してください。
* MELSEC iQ-R Ethernet ユーザーズマニュアル(応用編)の 1.13 セキュリティの「IP フィルタ」
* MELSEC iQ-L CPU module User's Manual (Application) 24.1 "IP filter Function"
* MELSEC iQ-R C 言語コントローラユニット ユーザーズマニュアル(応用編)の 6.6 セキュリティ機能の「IP フィルタ機能」
* MELIPC MI5000 シリーズ ユーザーズマニュアル(応用編)の「11.3 IP フィルタ機能」
[後続製品への移行を検討する]
MELSEC iQ-R シリーズのうちファームウェアアップデートが適用できないバージョンまたは MELSEC iQ-L シリーズおよび MELIPC シリーズを使用している場合：
開発者によると、本脆弱性に対応した後続製品・上位バージョンをリリースしているとのことです。
対策状況や後続製品・上位バージョンへの移行方法等の詳細については、開発者が提供する情報を参照の上、製品を購入した開発者の支社または代理店に問い合わせてください。
詳しくは、開発者が提供する情報を確認してください。
|
|
三菱電機
|
|
- リソースの不適切なシャットダウンおよびリリース(CWE-404) [その他]
|
|
- CVE-2022-33324
|
|
- JVN : JVNVU#96883262
- National Vulnerability Database (NVD) : CVE-2022-33324
- ICS-CERT ADVISORY : ICSA-22-356-03
|
|
- [2022年12月23日]
掲載
- [2022年12月26日]
参考情報：ICS-CERT ADVISORY (ICSA-22-356-03) を追加
- [2023年07月14日]
影響を受けるシステム：内容を更新
対策：内容を更新
- [2023年12月13日]
影響を受けるシステム：内容を更新
対策：内容を更新
参考情報：National Vulnerability Database (NVD) (CVE-2022-33324) を追加
- [2024年05月31日]
影響を受けるシステム：内容を更新
対策：内容を更新
- [2024年07月05日]
対策：内容を更新
- [2024年09月06日]
タイトル：内容を更新
概要：内容を更新
影響を受けるシステム：内容を更新
対策：内容を更新
|
