公開日：2021/12/16　最終更新日：2022/07/28

JVNVU#93817405
三菱電機製FAエンジニアリングソフトウェア製品における複数の脆弱性

概要

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、複数の脆弱性が存在します。

影響を受けるシステム

  • GX Works2 Ver. 1.606Gおよびそれ以前
  • MELSOFT Navigator Ver. 2.84Nおよびそれ以前
  • EZSocket Ver. 5.4およびそれ以前（*1）
（*1）「EZSocket」は三菱電機パートナー企業向けの通信ミドルウェア製品です。バージョンの確認方法は、三菱電機株式会社からパートナー企業へ直接連絡されるとのことです。

影響を受ける製品およびバージョンの確認方法等の詳細は、開発者が提供する情報をご確認ください。

詳細情報

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、次の複数の脆弱性が存在します。

  • 境界外読み取り (CWE-125) - CVE-2021-20606
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H 基本値: 5.5
  • 整数アンダーフロー (CWE-191) - CVE-2021-20607
    CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H 基本値: 5.5

想定される影響

第三者によって細工されたプロジェクトファイルを当該ソフトウエア製品で開いた場合、当該ソフトウェア製品がサービス運用妨害（DoS）状態になる可能性があります。

対策方法

アップデートする
次の製品に関しては、アップデートが提供されています。開発者が提供する情報をもとに、アップデートしてください。

  • GX Works2 Ver. 1.610Lおよびそれ以降
  • MELSOFT Navigator Ver. 2.86Qおよびそれ以降
  • EZSocket Ver. 5.5およびそれ以降（*2）
アップデートは、こちらから入手してください。

（*2）「EZSocket」は三菱電機パートナー企業向けの通信ミドルウェア製品です。対策版に関しては、三菱電機株式会社からパートナー企業へ直接連絡されるとのことです。

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
  • 信頼できないネットワークやホストからアクセスできないようにする
  • 該当製品を使用するパソコンにウイルス対策ソフトを搭載する
  • 信頼できない発信者からのメール等を経由して送付されたプロジェクトファイルを開かない
  • MELSOFT NavigatorまたはEZSocketの一括読出し機能で読み出したGX Works2のプロジェクトファイルを扱う際には、次に示す対応をする
  1. MELSOFT NavigatorまたはEZSocketで読み出したGX Works2のプロジェクトファイルをGX Works2 1.610Lおよびそれ以降で開く
  2. GX Works2のツール－オプションの「プロジェクト」-「共通設定」内の項目「プロジェクトのセキュリティチェックを有効にする」を有効にしてから保存する
詳しくは、開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
三菱電機株式会社 複数のFAエンジニアリングソフトウェア製品における複数のサービス拒否(DoS)の脆弱性

参考情報

  1. ICS Advisory (ICSA-21-350-05)
    Mitsubishi Electric FA Engineering Software

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2021/12/23
［参考情報］にICS Advisoryのリンクを追加しました。
2022/06/30
［影響を受けるシステム］および［対策方法］を更新しました
2022/07/28
［影響を受けるシステム］および［対策方法］を更新しました