JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は7月1日、「JVNVU#93086468: 三菱電機製空調管理システムにおける XML 外部実体参照 (XXE) の不適切な制限に関する脆弱性」において、三菱電機製空調管理システムに脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって情報漏洩やサービス妨害攻撃(DoS: Denial of Service attack)状態を引き起こされるおそれがある。
脆弱性に関する情報は次のページにまとまっている。
-
空調管理システムにおける情報漏えい等の脆弱性
脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。
- G-50 Ver.3.35 およびそれより前のバージョン
- G-50-W Ver.3.35 およびそれより前のバージョン
- GB-50 Ver.3.35 およびそれより前のバージョン
- G-150AD Ver.3.20 およびそれより前のバージョン
- GB-50AD Ver.3.20 およびそれより前のバージョン
- AE-200J Ver.7.93 およびそれより前のバージョン
- AE-50J Ver.7.93 およびそれより前のバージョン
- EW-50J Ver.7.93 およびそれより前のバージョン
- PAC-YG50EC Ver.2.20 およびそれより前のバージョン
- PAC-YW01BAC Ver.5.13 およびそれより前のバージョン
- PAC-YW51BAC Ver.8.11 およびそれより前のバージョン
同日、JPCERT/CCは「JVNVU#96046575: 三菱電機製空調管理システムの WEB 機能における認証アルゴリズムの不適切な実装に関する脆弱性」も発行しており、同じプロダクトに別の脆弱性の存在が指摘されている。
脆弱性のひとつは深刻度が緊急に分類されており注意が必要。JPCERT/CCは開発者の提供する情報にもとづいてアップデートを適用することを推奨している。
