公開日:2024/03/14 最終更新日:2024/06/13

JVNVU#99690199
三菱電機製MELSEC-Q/LシリーズCPUユニットにおける複数の脆弱性

概要

三菱電機株式会社が提供するMELSEC-Q/LリーズのCPUユニットには、複数の脆弱性が存在します。

影響を受けるシステム

  • MELSEC-Qシリーズ
    • Q03UDECPU、Q04/06/10/13/20/26/50/100UDEHCPU シリアルNo.の上5桁"26061"およびそれ以前
    • Q03/04/06/13/26UDVCPU シリアルNo.の上5桁"26061"およびそれ以前
    • Q04/06/13/26UDPVCPU シリアルNo.の上5桁"26061"およびそれ以前
  • MELSEC-Lシリーズ
    • L02/06/26CPU(-P)、L26CPU-(P)BT シリアルNo.の上5桁"26041"およびそれ以前
詳しくは、開発者が提供する情報を確認してください。

詳細情報

三菱電機株式会社が提供するMELSEC-Q/LリーズのCPUユニットには、次の複数の脆弱性が存在します。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような可能性があります。

CVE-2024-0802
遠隔の第三者によって細工されたパケットを当該製品が受信することで、当該製品の任意の情報が取得されたり悪意のあるプログラムが実行されたりする

CVE-2024-0803、CVE-2024-1915、CVE-2024-1916、CVE-2024-1917
遠隔の第三者によって細工されたパケットを当該製品が受信することで、悪意のあるプログラムが実行される

対策方法

ワークアラウンドを実施する
次の回避策または軽減策を適用することで、本脆弱性の影響を軽減することが可能です。

  • 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク(VPN)等を使用し、不正アクセスを防止する
  • 当該製品をLAN内で使用し、信頼できないネットワークやホストからのアクセスをファイアウォールでブロックする
  • 当該製品が接続されたLANへの物理的なアクセスを制限する
後続製品への移行を検討する
開発者によると、本脆弱性に対応した後続製品・上位バージョンをリリースしているとのことです。
対策状況や後続製品・上位バージョンへの移行⽅法等の詳細については、開発者が提供する情報を参照の上、製品を購⼊した開発者の⽀社または代理店に問い合わせてください。

詳しくは開発者が提供する情報を確認してください。

参考情報

  1. ICS Advisory | ICSA-24-074-14
    Mitsubishi Electric MELSEC-Q/L Series

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2024/03/18
[参考情報]にICS Advisoryのリンクを追加しました
2024/05/16
[影響を受けるシステム]および[対策方法]を更新しました
2024/06/13
[影響を受けるシステム]を更新しました