JVNVU#94434051
三菱電機製MELSECおよびMELIPCシリーズのEthernetポートにおける複数の脆弱性

三菱電機製MELSECおよびMELIPCシリーズのEthernetポートには、複数の脆弱性が存在します。

• MELSEC
  • iQ-Rシリーズ
    • R00/01/02CPU ファームウェアバージョン"24"およびそれ以前
    • R04/08/16/32/120（EN）CPU ファームウェアバージョン"57"およびそれ以前
    • R08/16/32/120SFCPU ファームウェアバージョン"26"およびそれ以前
    • R08/16/32/120PCPU ファームウェアバージョン"29"およびそれ以前
    • R08/16/32/120PSFCPU ファームウェアバージョン"08"およびそれ以前
    • R16/32/64MTCPU 本体OSソフトウェアバージョン"23"およびそれ以前
    • R12CCPU-V ファームウェアバージョン"16"およびそれ以前
  • Qシリーズ
    • Q03UDECPU、Q04/06/10/13/20/26/50/100UDEHCPU シリアルNo.の上5桁"23121"およびそれ以前
    • Q03/04/06/13/26UDVCPU シリアルNo.の上5桁"23071"およびそれ以前
    • Q04/06/13/26UDPVCPU シリアルNo.の上5桁"23071"およびそれ以前
    • Q12DCCPU-V、Q24DHCCPU-V(G)、Q24/26DHCCPU-LS シリアルNo.の上5桁"24031"およびそれ以前
    • MR-MQ100 本体OSソフトウェアバージョン"F"およびそれ以前
    • Q172/173DCPU-S1 本体OSソフトウェアバージョン"W"およびそれ以前
    • Q172/173DSCPU 本体OSソフトウェアバージョン"Y"およびそれ以前
    • Q170MCPU 本体OSソフトウェアバージョン"W"およびそれ以前
    • Q170MSCPU(-S1) 本体OSソフトウェアバージョン"Y"およびそれ以前
  • Lシリーズ
    • L02/06/26CPU(-P)、L26CPU-(P)BT シリアルNo.の上5桁"23121"およびそれ以前
• MELIPCシリーズ
  • MI5122-VW ファームウェアバージョン"05"およびそれ以前

三菱電機株式会社が提供するMELSECおよびMELIPCシリーズのEthernetポートには、次の複数の脆弱性が存在します。

• リソースの枯渇 (CWE-400) - CVE-2021-20609

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• レングスパラメーターの不整合による不適切な処理 (CWE-130) - CVE-2021-20610

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 不適切な入力確認 (CWE-20) - CVE-2021-20611

  CVSS v3

  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

遠隔の第三者によって細工されたパケットを受信することでサービス運用妨害（DoS）状態となり、当該製品のプログラムの実行が停止されたり、Ethernetの通信が停止されたりする可能性があります。
なお、復旧には当該製品のリセットが必要です。

アップデートする
修正済みの製品のバージョンは次の通りです。
アップデート方法等の詳細につきましては、開発者が提供する情報を参照の上、製品を購入した開発者の支社、代理店にお問合せください。

• MELSEC
  • iQ-Rシリーズ
    • R00/01/02CPU ファームウェアバージョン"25"およびそれ以降
    • R04/08/16/32/120（EN）CPU ファームウェアバージョン"58"およびそれ以降
    • R08/16/32/120SFCPU ファームウェアバージョン"27"およびそれ以降
    • R08/16/32/120PCPU ファームウェアバージョン"30"およびそれ以降
    • R08/16/32/120PSFCPU ファームウェアバージョン"09"およびそれ以降
    • R16/32/64MTCPU 本体OSソフトウェアバージョン"24"およびそれ以降
    • R12CCPU-V ファームウェアバージョン"17"およびそれ以降
  • Qシリーズ
    • Q03UDECPU、Q04/06/10/13/20/26/50/100UDEHCPU シリアルNo.の上5桁"23122"およびそれ以降
    • Q03/04/06/13/26UDVCPU シリアルNo.の上5桁"23072"およびそれ以降
    • Q04/06/13/26UDPVCPU シリアルNo.の上5桁"23072"およびそれ以降
    • Q12DCCPU-V、Q24DHCCPU-V(G)、Q24/26DHCCPU-LS シリアルNo.の上5桁"24032"およびそれ以降
    • MR-MQ100 本体OSソフトウェアバージョン"G"およびそれ以降
    • Q172/173DCPU-S1 本体OSソフトウェアバージョン"X"およびそれ以降
    • Q172/173DSCPU 本体OSソフトウェアバージョン"Z"およびそれ以降
    • Q170MCPU 本体OSソフトウェアバージョン"X"およびそれ以降
    • Q170MSCPU(-S1) 本体OSソフトウェアバージョン"Z"およびそれ以降
  • Lシリーズ
    • L02/06/26CPU(-P)、L26CPU-(P)BT シリアルNo.の上5桁"23122"およびそれ以降
• MELIPCシリーズ
  • MI5122-VW ファームウェアバージョン"06"およびそれ以降

• 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用する
• LAN内で使用し、信頼できないネットワークやホストからアクセスできないようにする
• 当該製品のリモートパスワード機能（*1）またはIPフィルタ機能（*2）を使用し、信頼できないホストからアクセスできないようにする