公開日:2020/07/30 最終更新日:2020/07/31

JVNVU#90224831
複数の三菱電機製 FA 製品における複数の脆弱性

概要

複数の三菱電機製 FA 製品には、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2020-14521

  • C言語コントローラインタフェースユニットユーティリティ 全バージョン
  • C言語コントローラ用設定・モニタツール 全バージョン
  • CC-Link IEコントローラネットワークデータコレクタ:パソコンボード用 全バージョン
  • CC-Link IEフィールドネットワークデータコレクタ:パソコンボード用 全バージョン
  • CPUユニットロギング設定ツール Ver. 1.100E およびそれ以前
  • CW Configurator Ver. 1.010L およびそれ以前
  • データ転送ツール 全バージョン
  • EZSocket 全バージョン
  • FR Configurator SW3 全バージョン
  • FR Configurator2 全バージョン
  • GT Designer2 Classic 全バージョン
  • GT Designer3 Version1(GOT1000) 全バージョン
  • GT Designer3 Version1(GOT2000) 全バージョン
  • GT SoftGOT1000 Version3 全バージョン
  • GT SoftGOT2000 Version1 全バージョン
  • GX Developer Ver. 8.504A およびそれ以前
  • GX LogViewer Ver. 1.100E およびそれ以前
  • GX Works2 全バージョン
  • GX Works3 Ver. 1.063R およびそれ以前
  • IU Data Transfer 全バージョン
  • IU Developer 全バージョン
  • IU Developer2 全バージョン
  • M_CommDTM-IO-Link 全バージョン
  • MELFA-Works 全バージョン
  • WinCPU設定ユーティリティ 全バージョン
  • MELSOFT 環境削除ツール 全バージョン
  • MELSOFT EM Software Development Kit 全バージョン
  • MELSOFT iQ AppPortal 全バージョン
  • MELSOFT Navigator 全バージョン
  • MI Configurator 全バージョン
  • モーション制御設定 Ver. 1.005F およびそれ以前
  • Motorizer Ver. 1.005F およびそれ以前
  • MR Configurator2 全バージョン
  • MT Works2 全バージョン
  • MTConnectデータコレクタ 全バージョン
  • MX Component 全バージョン
  • MX MESInterface 全バージョン
  • MX MESInterface-R 全バージョン
  • MX Sheet 全バージョン
  • ネットワークインタフェースボード CC IE Control ユーティリティ 全バージョン
  • ネットワークインタフェースボード CC IE Fieldユーティリティ 全バージョン
  • ネットワークインタフェースボード CC-Link Ver.2ユーティリティ 全バージョン
  • ネットワークインタフェースボード MNETHユーティリティ 全バージョン
  • ポジションボードユーティリティ2 全バージョン
  • PX Developer 全バージョン
  • RT ToolBox2 全バージョン
  • RT ToolBox3 全バージョン
  • C言語コントローラ設定・モニタツール 全バージョン
  • SLMPデータコレクタ 全バージョン
CVE-2020-14523
  • CW Configurator Ver. 1.010L およびそれ以前
  • FR Configurator2 Ver. 1.22Y およびそれ以前
  • GX Works2 Ver. 1.595V およびそれ以前
  • GX Works3 Ver. 1.063R およびそれ以前
  • IU Configuration Tool 全バージョン
  • IU Developer2 全バージョン
  • MELSEC iQ-Rシリーズ モーションユニット 全バージョン
  • MELSOFT iQ AppPortal 全バージョン
  • MELSOFT Navigator 全バージョン
  • MI Configurator 全バージョン
  • MR Configurator2 全バージョン
  • MT Works2 Ver. 1.156N およびそれ以前
  • MX Component 全バージョン
  • RT ToolBox3 Ver. 1.70Y およびそれ以前
詳しくは、開発者が提供する情報をご確認ください。

詳細情報

複数の三菱電機製 FA エンジニアリングソフトウェア製品には、次の複数の脆弱性が存在します。

  • 引用符で囲まれていないプログラムパス (CWE-428) - CVE-2020-14521
    CVSS v3 CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H 基本値: 8.3
  • パストラバーサル (CWE-22) - CVE-2020-14523
    CVSS v3 CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H 基本値: 8.3

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、不適切な権限が与えられた一部のファイルを悪意のあるファイルに置き換えられ、悪意のあるコードを実行される。結果として、情報の取得、改ざんやサービス運用妨害 (DoS) 状態にされる。 - CVE-2020-14521
  • 遠隔の第三者によって、プロジェクトファイルや設定データファイルに細工をされ、管理者権限のユーザが細工されたファイルを操作した場合に、実行ファイルや設定データファイルが書き換えられる。結果として、悪意のあるコードが実行される。 - CVE-2020-14523

対策方法

アップデートする
開発者が提供する情報をもとに、各製品に対応したアップデートを適用してください。
アップデートは、こちらから入手可能とのことです。

CVE-2020-14521

  • CPUユニットロギング設定ツール Ver. 1.106K 以降
  • CW Configurator Ver. 1.011M 以降
  • GX Developer Ver. 8.505B 以降
  • GX LogViewer Ver. 1.106K 以降
  • GX Works3 Ver. 1.065T 以降
  • モーション制御設定 Ver. 1.006G 以降
  • Motorizer Ver. 1.010L 以降
CVE-2020-14523
  • CW Configurator Ver. 1.011M 以降
  • FR Configurator2 Ver. 1.23Z 以降
  • GX Works2 Ver. 1.596W 以降
  • GX Works3 Ver. 1.065T 以降
  • MT Works2 Ver. 1.160S 以降
  • RT ToolBox3 Ver. 1.80J 以降
ワークアラウンドを実施する
開発者によると、対策バージョンがリリースされていない、またはアップデートを適用できない場合には、次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。詳しくは、開発者が提供する情報をご確認ください。

CVE-2020-14521
  • Windows を起動した際に「ファイル名に関する警告」メッセージが表示された場合は、ファイル名の変更等のメッセージの指示に従って適切な処置を行った後に、該当製品のインストールや操作を行なう。
  • 該当製品を操作する際は、管理者権限を持つアカウント以外で操作する。
  • 該当製品を使用するパソコンにウイルス対策ソフトを搭載する。
  • すべての制御システムデバイスやシステムのネットワークへの接続を最小限に抑え、信頼できないネットワークやホストからアクセスできないようにする。
  • 制御システムネットワークとリモートデバイスをファイアウォールで防御し、OA ネットワークから分離する。
  • リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する。

CVE-2020-14523
  • 該当製品で使用するプロジェクトファイルや設定データファイルを、メール、USBメモリ、ファイルサーバを介して第三者から受け取る場合は、ファイルが正しい入手経路で取得されたものであることを確認する。または、入手経路不明なファイルが混入してないことを確認する。
  • 該当製品を操作する際は、管理者権限を持つアカウント以外で操作する (MELSEC iQ-Rシリーズ モーションユニットは非該当)。
  • 該当製品を使用するパソコンにウイルス対策ソフトを搭載する (MELSEC iQ-Rシリーズ モーションユニットは非該当)。
  • すべての制御システムデバイスやシステムのネットワークへの接続を最小限に抑え、信頼できないネットワークやホストからのアクセスを制限する。
  • 制御システムネットワークとリモートデバイスをファイアウォールで防御し、OA ネットワークから分離する。
  • リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する。

参考情報

  1. ICS Advisory (ICSA-20-212-03)
    Mitsubishi Electric Factory Automation Products Path Traversal
  2. ICS Advisory (ICSA-20-212-04)
    Mitsubishi Electric Factory Automation Engineering Products

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-14521
CVE-2020-14523
JVN iPedia

更新履歴

2020/07/31
【参考情報】に ICS Advisory のリンクを追加しました