[SCI] Autorización incorrecta en productos Mitsubishi Electric MELSEC-F

Introducción

Mitsubishi Electric ha notificado una vulnerabilidad crítica, que afecta a varios productos de MELSEC-F Series y cuya explotación podría permitir a un atacante remoto divulgar y/o modificar información y omitir el proceso de autenticación.^[1]

Análisis

La vulnerabilidad de severidad crítica asociada al producto Mitsubishi Electric MELSEC-F Series afectado es la siguiente:

• • CVE-2023-4562: Autenticación incorrecta (CWE-287): Un atacante remoto podría obtener programas de secuencia del producto, o escribir programas de secuencia maliciosos o datos indebidos en el producto sin autenticación, mediante el envío de mensajes ilegítimos.

Mitsubishi Electric informa^[2] que todas las versiones de los controladores programables de la serie MELSEC-F están afectadas si se utilizan con el adaptador especial de comunicación ethernet FX3U-ENET-ADP o el bloque de comunicación ethernet FX3U-ENET(-L):

• • MELSEC-F series FX3U-xMy/z x=16,32,48,64,80,128, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F series FX3U-32MR/UA1, FX3U-64MR/UA1;
  • MELSEC-F FX3U-32MS/ES, FX3U-64MS/ES;
  • MELSEC-F FX3U-xMy/ES-A x=16,32,48,64,80,128, y=T,R;
  • MELSEC-F FX3UC-xMT/z x=16,32,64,96, z=D,DSS;
  • MELSEC-F FX3UC-16MR/D-T, FX3UC-16MR/DS-T;
  • MELSEC-F FX3UC-32MT-LT, FX3UC-32MT-LT-2;
  • MELSEC-F FX3UC-16MT/D-P4, FX3UC-16MT/DSS-P4;
  • MELSEC-F FX3G-xMy/z x=14,24,40,60, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3G-xMy/ES-A x=14,24,40,60, y=T,R;
  • MELSEC-F FX3GC-32MT/D, FX3GC-32MT/DSS;
  • MELSEC-F FX3GE-xMy/z x=24,40, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3GA-xMy-CM x=24,40,60, y=T,R;
  • MELSEC-F FX3S-xMy/z x=10,14,20,30, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3S-30My/z-2AD y=T,R, z=ES,ESS;
  • MELSEC-F FX3SA-xMy-CM x=10,14,20,30, y=T,R.

Recomendaciones

Aplicar las siguientes medidas de mitigación para minimizar el riesgo de explotación:

• • utilizar un firewall o una VPN,
  • operar los productos dentro de una LAN y bloquear el acceso desde redes y hosts no fiables,
  • restringir el acceso físico a los productos afectados y a la LAN a la que están conectados.

Referencias