[SCI] Autorizació incorrecta en productos Mitsubishi Electric MELSEC-F

Introducció

Mitsubishi Electric ha notificat una vulnerabilitat crítica, que afecta diversos productes de MELSEC-F Series i l’explotació dels quals podria permetre a un atacant remot divulgar i/o modificar informació i ometre el procés d’autenticació.^[1]

Anàlisi

La vulnerabilitat de severitat crítica associada al producte Mitsubishi Electric MELSEC-F Series afectat és la següent:

• • CVE-2023-4562: Autenticació incorrecta (CWE-287): ): Un atacant remot podria obtenir programes de seqüència del producte, o escriure programes de seqüència maliciosos o dades indegudes al producte sense autenticació, mitjançant l’enviament de missatges il·legítims.

Mitsubishi Electric informa^[2] que totes les versions dels controladors programables de la sèrie MELSEC-F estan afectades si s’utilitzen amb l’adaptador especial de comunicació ethernet FX3U-ENET-ADP o el bloc de comunicació ethernet FX3U-ENET(-L):

• • MELSEC-F series FX3U-xMy/z x=16,32,48,64,80,128, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F series FX3U-32MR/UA1, FX3U-64MR/UA1;
  • MELSEC-F FX3U-32MS/ES, FX3U-64MS/ES;
  • MELSEC-F FX3U-xMy/ES-A x=16,32,48,64,80,128, y=T,R;
  • MELSEC-F FX3UC-xMT/z x=16,32,64,96, z=D,DSS;
  • MELSEC-F FX3UC-16MR/D-T, FX3UC-16MR/DS-T;
  • MELSEC-F FX3UC-32MT-LT, FX3UC-32MT-LT-2;
  • MELSEC-F FX3UC-16MT/D-P4, FX3UC-16MT/DSS-P4;
  • MELSEC-F FX3G-xMy/z x=14,24,40,60, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3G-xMy/ES-A x=14,24,40,60, y=T,R;
  • MELSEC-F FX3GC-32MT/D, FX3GC-32MT/DSS;
  • MELSEC-F FX3GE-xMy/z x=24,40, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3GA-xMy-CM x=24,40,60, y=T,R;
  • MELSEC-F FX3S-xMy/z x=10,14,20,30, y=T,R, z=ES,ESS,DS,DSS;
  • MELSEC-F FX3S-30My/z-2AD y=T,R, z=ES,ESS;
  • MELSEC-F FX3SA-xMy-CM x=10,14,20,30, y=T,R.

Recomanacions

Aplicar les mesures de mitigació següents per minimitzar el risc d’explotació:

• • • utilitzar un firewall o una VPN,
    • operar els productes dins d’una LAN i bloquejar l’accés des de xarxes i hosts no fiables,
    • restringir l’accés físic als productes afectats i a la LAN a què estan connectats.

Referències