JVNVU#96883262
三菱電機製MELSEC iQ-RおよびiQ-Lシリーズ、MELIPCシリーズのEthernetポートにおけるリソースの不適切なシャットダウンおよびリリースの脆弱性

三菱電機製MELSEC iQ-RおよびiQ-LシリーズならびにMELIPCシリーズのEthernetポートには、リソースの不適切なシャットダウンおよびリリースの脆弱性が存在します。

• MELSEC iQ-Rシリーズ
  • R00/01/02CPU ファームウェアバージョン"32"およびそれ以前
  • R04/08/16/32/120(EN)CPU ファームウェアバージョン"65"およびそれ以前
  • R08/16/32/120SFCPU ファームウェアバージョン"29"およびそれ以前
  • R08/16/32/120PSFCPU ファームウェアバージョン"08"およびそれ以前
  • R12CCPU-V ファームウェアバージョン"17"およびそれ以前
• MELSEC iQ-Lシリーズ（海外一部地域専用品）
  • L04/08/16/32HCPU ファームウェアバージョン"05"およびそれ以前
• MELIPCシリーズ
  • MI5122-VW ファームウェアバージョン"07"およびそれ以前

• MELSEC iQ-R ユニット構成マニュアル「付1 製造情報・ファームウェアバージョン」
• MELSEC iQ-L Module Configuration Manual "Appendix 1 Checking Production Information and Firmware Version"
• MELIPC MI5000 シリーズ ユーザーズマニュアル(スタートアップ編)「付17 製造情報・ファームウェアバージョン」

三菱電機製MELSEC iQ-RおよびiQ-LシリーズCPUユニットならびにMELIPCシリーズのEthernetポートには、リソースの不適切なシャットダウンおよびリリースの脆弱性（CWE-404、CVE-2022-33324）が存在します。

遠隔の第三者によって細工されたパケットを受信すると、当該製品のEthernet通信がサービス運用妨害（DoS）状態となる可能性があります。
なお、復旧には当該製品のリセットが必要になります。

アップデートする
MELSEC iQ-Rシリーズの該当製品を使用している場合：
次に示すマニュアルから、ファームウェアアップデートの適用が可能か否かの確認をし、可能な場合は、開発者が提供する情報をもとに対策済みバージョンにアップデートしてください。
対策済みバージョンは「ダウンロード | 三菱電機FA」から入手してください。

• MELSEC iQ-R ユニット構成マニュアル「付2 ファームウェアアップデート機能」

ワークアラウンドを実施する
MELSEC iQ-Rシリーズのうちファームウェアアップデートが適用できないバージョンまたはMELSEC iQ-LシリーズおよびMELIPCシリーズを使用している場合：
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• 当該製品をインターネットに接続する場合は、ファイアウォールの設置や仮想プライベートネットワーク（VPN）を使用し、不正なアクセスを制限する
• 当該製品をLAN内で使用し、当該製品への接続を最小限に抑え、信頼できるネットワークやホストからのみアクセスできるよう制限する
• 当該製品のIPフィルタ機能（*1）を使用し、接続可能なIPアドレスを適切に制限する

• MELSEC iQ-R Ethernet ユーザーズマニュアル(応用編)の 1.13 セキュリティの「IP フィルタ」
• MELSEC iQ-L CPU module User’s Manual (Application) 24.1 "IP filter Function"
• MELSEC iQ-R C 言語コントローラユニット ユーザーズマニュアル(応用編)の 6.6 セキュリティ機能の「IP フィルタ機能」
• MELIPC MI5000 シリーズ ユーザーズマニュアル(応用編)の「11.3 IP フィルタ機能」