三菱電機製FAエンジニアリング・ソフトに複数の脆弱性

United States Computer Emergency Readiness Team (US-CERT)は6月30日(現地時間)、「Mitsubishi Electric Factory Automation Engineering Software Products｜CISA」において、三菱電機のFA (Factory Automation) エンジニアリング・ソフトウェアに複数の脆弱性が存在すると伝えた。

これら脆弱性を悪用されると、該当のソフトウェア製品が動作しているコンピュータで、ユーザー権限でアクセス可能な任意のファイルが外部に送信されたり、サービス拒否(DoS)状態に陥ったりする危険性がある。

Mitsubishi Electric Factory Automation Engineering Software Products ｜ CISA

脆弱性に関する情報は、三菱電機による次の文書(PDF)にまとめられている。

複数のFAエンジニアリングソフトウェア製品におけるXML処理の不備に起因する脆弱性

報告によれば、対象の脆弱性はXML処理の不備に起因するもので、具体的には次の2つの問題を含んでいるという。

XML外部実体参照 (XXE) (CWE-611) - CVE-2020-5602
リソースの枯渇 (CWE-400) - CVE-2020-5603

対象となるプロダクトおよびバージョンは以下の通り。

CPU ユニットロギング設定ツール Ver. 1.94Y 以前
CW Configurator Ver. 1.010L 以前
EM Software Development Kit (EM Configurator) Ver. 1.010L 以前
GT Designer3（GOT2000） Ver. 1.221F 以前
GX LogViewer Ver. 1.96A 以前
GX Works2 Ver. 1.586L 以前
GX Works3 Ver. 1.058L 以前
M_CommDTM-HART Ver. 1.00A
M_CommDTM-IO-Link Ver. 1.02C 以前
MELFA-Works Ver. 4.3 以前
MELSEC-L フレキシブル高速 I/O 制御ユニット設定ツール Ver.1.004E 以前
MELSOFT FieldDeviceConfigurator Ver. 1.03D 以前
MELSOFT iQ AppPortal Ver. 1.11M 以前
MELSOFT Navigator Ver. 2.58L 以前
MI Configurator Ver. 1.003D 以前
モーション制御設定 Ver. 1.005F 以前
MR Configurator2 Ver. 1.72A 以前
MT Works2 Ver. 1.156N 以前
RT ToolBox2 Ver. 3.72A 以前
RT ToolBox3 Ver. 1.50C 以前

開発元からはすでに対策を施したソフトゥエアの提供が行われており、早急にアップデートすることが推奨されている。該当する脆弱性が修正済みのプロダクトおよびバージョンは次のとおり。

CPU ユニットロギング設定ツール Ver. 1.100E 以降
CW Configurator Ver. 1.011M 以降
EM Software Development Kit (EM Configurator) Ver. 1.015R 以降
GT Designer3（GOT2000） Ver. 1.225K 以降
GX LogViewer Ver. 1.100E 以降
GX Works2 Ver. 1.590Q 以降
GX Works3 Ver. 1.060N 以降
M_CommDTM-HART Ver. 1.01B 以降
M_CommDTM-IO-Link Ver. 1.03D 以降
MELFA-Works Ver. 4.4 以降
MELSEC-L フレキシブル高速 I/O 制御ユニット設定ツール Ver.1.005F 以降
MELSOFT FieldDeviceConfigurator Ver. 1.04E 以降
MELSOFT iQ AppPortal Ver. 1.14Q 以降
MELSOFT Navigator Ver. 2.62Q 以降
MI Configurator Ver. 1.004E 以降
モーション制御設定 Ver. 1.006G 以降
MR Configurator2 Ver. 1.100E 以降
MT Works2 Ver. 1.160S 以降
RT ToolBox2 Ver. 3.73B 以降
RT ToolBox3 Ver. 1.60N 以降

すぐに製品をアップデートできない場合、リスクを最小限に抑えるため、使用するプロジェクトファイルや設定ファイルの入手経路を確認することや、該当する製品を管理者権限を持たないアカウントで実行する、制御システムデバイスやシステム本体のネットワークへの接続を最小限に抑えるなどといった軽減策を取るこが推奨されている。