JVNVU#98894016
三菱電機製GENESIS64およびMC Works64における複数の脆弱性

三菱電機株式会社が提供するGENESIS64およびMC Works64には、複数の脆弱性が存在します。

CVE-2023-2650

• GENESIS64 Version 10.97.2

CVE-2023-4807

• GENESIS64 Version 10.97.2

CVE-2024-1182

• GENESIS64 全バージョン
• MC Works64 全バージョン

CVE-2024-1573

• GENESIS64 Version 10.97から10.97.2まで
• MC Works64 全バージョン

CVE-2024-1574

• GENESIS64 Version 10.97から10.97.2まで
• MC Works64 全バージョン

三菱電機株式会社が提供するGENESIS64およびMC Works64には、次の複数の脆弱性が存在します。

• 制限または上限なしのリソースの割り当て（CWE-770）
  • CVSS:v3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L 基本値: 3.7
  • 当該製品に組み込まれているOpenSSLの脆弱性（CVE-2023-2650）に起因しています
• デジタル署名の不適切な検証（CWE-347）
  • CVSS:v3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 5.9
  • 当該製品に組み込まれているOpenSSLの脆弱性（CVE-2023-4807）に起因しています
• ファイル検索パスの制御不備（CWE-427）
  • CVSS:v3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.0
  • CVE-2024-1182
• 不適切な認証（CWE-287）
  • CVSS:v3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N 基本値: 5.9
  • CVE-2024-1573
• 安全でないリフレクション（CWE-470）
  • CVSS:v3.1/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H 基本値: 6.7
  • CVE-2024-1574

想定される影響は各脆弱性により異なりますが、次のような可能性があります。

• OpenSSLを使用しているBACnetセキュア通信機能が、攻撃者によって細工されたASN.1 オブジェクト識別子を含む証明書を受信し検証することで、一時的にサービス運用妨害（DoS）状態となる - CVE-2023-2650
• OpenSSLを使用しているBACnetセキュア通信機能が、攻撃者によって細工されたメッセージ認証コード（MAC）を含むメッセージを受信し、処理することで、サービス運用妨害（DoS）状態となる - CVE-2023-4807
• 攻撃者が細工したDLLファイルを特定のフォルダに格納することで、悪意あるプログラムが実行される - CVE-2024-1182
• 攻撃者によって適切な認証を回避され、システムにログインされる - CVE-2024-1573
• システムによって保護されていない特定のファイルを攻撃者により書き換えられることで、悪意あるプログラムを管理者権限で実行される - CVE-2024-1574

アップデートする
CVE-2023-2650向け：
GENESIS64セキュリティパッチを適用し、ソフトウェアを更新してください。
セキュリティパッチはICONICS社運営のWebサイト「ICONICS Community Portal」からダウンロードできます。

CVE-2023-4807向け：
CVE-2023-4807の脆弱性に関しては、セキュリティパッチを作成中とのことです。
開発者からセキュリティパッチが提供されるまでの間は、下記のワークアラウンドを実施してください。

後続製品・バージョンへの移行を検討する
CVE-2024-1573、CVE-2024-1574向け：
GENESIS64 Version 10.97.3およびそれ以降へのアップデートもしくは移行を検討してください。

ワークアラウンドを実施する
全ての脆弱性向け：

• 制御システムのネットワークとデバイスをファイアウォールで防御し、信頼できないネットワークやホストからのアクセスを遮断する
• 当該製品がインストールされたPCおよび本PCが接続されているネットワークへの物理的なアクセスを制限する
• 信頼できない送信元からのメール等に記載されたWebリンクをクリックしたり、信頼できない電子メールの添付ファイルを開いたりしない

CVE-2023-2650向け：

• 当該製品のBACnetセキュア通信機能（*1）を有効化している場合には、当該機能を無効化する
• 信頼できない証明書をインポートしない

（*1）初期状態では当該機能は無効化されています。当該機能を無効化する手順はGENESIS64オンラインマニュアル「ICONICS Product Help」を確認してください。

CVE-2023-4807向け：

• 当該製品のBACnetセキュア通信機能（*1）を有効化している場合には、当該機能を無効化する

（*1）初期状態では当該機能は無効化されています。当該機能を無効化する手順はGENESIS64オンラインマニュアル「ICONICS Product Help」を確認してください。

CVE-2024-1182向け：

• GENESIS64 Version 10.97.3および以降をインストールする際には、マルチエージェント通知機能（*2）を、特に必要としない限りカスタムインストールしない

（*2）マルチエージェント通知機能は、GENESIS64 Version 10.97.3およびそれ以降では、デフォルトインストールに含まれていません。

CVE-2024-1573向け：
GENESIS64およびMC Works64のセキュリティ設定において、次の4つの条件のうち少なくとも1つを満たさないように設定する

• Active Directory を使用する
• 「自動ログイン」オプションを有効にする
• IcoAnyGlass IISアプリケーションプールを、Active Directoryドメインアカウントで実行する
• IcoAnyGlass IISアプリケーションプールアカウントを、GENESIS64およびMC Works64セキュリティに含め、ログインする権限を与える

詳しくは、開発者が提供する情報を確認してください。