JVNVU#90224831
複数の三菱電機製 FA 製品における複数の脆弱性

複数の三菱電機製 FA 製品には、複数の脆弱性が存在します。

CVE-2020-14521

• C言語コントローラインタフェースユニットユーティリティ 全バージョン Ver. 2.00 およびそれ以前
• CC-Link IEコントローラネットワークデータコレクタ：パソコンボード用 Ver. 1.00A
• CC-Link IEフィールドネットワークデータコレクタ：パソコンボード用 Ver. 1.00A
• CC-Link IE TSNデータコレクタ Ver. 1.00A
• CPUユニットロギング設定ツール Ver. 1.100E およびそれ以前
• CW Configurator Ver. 1.010L およびそれ以前
• データ転送ツール Ver. 3.42U およびそれ以前
• EZSocket Ver.5.1 およびそれ以前
• FR Configurator SW3 全バージョン
• FR Configurator2 Ver.1.26C およびそれ以前
• GT Designer2 Classic 全バージョン
• GT Designer3 Version1 (GOT1000) Ver. 1.241B およびそれ以前
• GT Designer3 Version1 (GOT2000) Ver. 1.241B およびそれ以前
• GT SoftGOT1000 Version3 Ver. 3.200J およびそれ以前
• GT SoftGOT2000 Version1 Ver. 1.241B およびそれ以前
• GX Developer Ver. 8.504A およびそれ以前
• GX LogViewer Ver. 1.100E およびそれ以前
• GX Works2 Ver. 1.601B およびそれ以前
• GX Works3 Ver. 1.063R およびそれ以前
• IU Data Transfer Ver.1.22 およびそれ以前
• IU Developer Ver.1.94 およびそれ以前
• IU Developer2 Ver.1.08 およびそれ以前
• M_CommDTM-IO-Link Ver. 1.03D およびそれ以前
• MELFA-Works Ver.4.4 およびそれ以前
• WinCPU設定ユーティリティ 全バージョン
• MELSOFT 環境削除ツール Ver.1.06G およびそれ以前
• MELSOFT EM Software Development Kit Ver. 1.015R およびそれ以前
• MELSOFT iQ AppPortal Ver.1.17T およびそれ以前
• MELSOFT Navigator Ver.2.74C およびそれ以前
• MI Configurator Ver. 1.004E およびそれ以前
• モーション制御設定 Ver. 1.005F およびそれ以前
• Motorizer Ver. 1.005F およびそれ以前
• MR Configurator2 Ver. 1.125F およびそれ以前
• MT Works2 Ver. 1.167Z およびそれ以前
• MTConnect データコレクタ Ver. 1.1.4.0 およびそれ以前
• MX Component Ver.4.20W およびそれ以前
• MX MESInterface Ver.1.21X およびそれ以前
• MX MESInterface-R Ver.1.12N およびそれ以前
• MX Sheet Ver.2.15R およびそれ以前
• ネットワークインタフェースボード CC IE Control ユーティリティ Ver. 1.29F およびそれ以前
• ネットワークインタフェースボード CC IE Field ユーティリティ Ver. 1.16S およびそれ以前
• ネットワークインタフェースボード CC-Link Ver.2 ユーティリティ Ver. 1.23Z およびそれ以前
• ネットワークインタフェースボード MNETH ユーティリティ Ver. 34L およびそれ以前
• ポジションボードユーティリティ 2 Ver. 3.20およびそれ以前
• PX Developer Ver.1.53F およびそれ以前
• RT ToolBox2 Ver.3.73B およびそれ以前
• RT ToolBox3 Ver.1.82L およびそれ以前
• C言語コントローラ設定・モニタツール (SW3PVC-CCPU) Ver. 3.13P およびそれ以前
• C言語コントローラ設定・モニタツール (SW4PVC-CCPU) Ver. 4.12N およびそれ以前
• SLMPデータコレクタ Ver. 1.04E およびそれ以前

CVE-2020-14523

• CW Configurator Ver. 1.010L およびそれ以前
• FR Configurator2 Ver. 1.22Y およびそれ以前
• GX Works2 Ver. 1.595V およびそれ以前
• GX Works3 Ver. 1.063R およびそれ以前
• IU Configuration Tool Ver.1.04 およびそれ以前
• IU Developer2 Ver.1.08 およびそれ以前
• MELSEC iQ-R シリーズ モーションユニット Ver.10 およびそれ以前
• MELSOFT iQ AppPortal Ver.1.17T およびそれ以前
• MELSOFT Navigator Ver.2.70Y およびそれ以前
• MI Configurator Ver. 1.004E およびそれ以前
• MR Configurator2 Ver.1.110Q およびそれ以前
• MT Works2 Ver. 1.156N およびそれ以前
• MX Component Ver.4.20W およびそれ以前
• RT ToolBox3 Ver. 1.70Y およびそれ以前

詳しくは、開発者が提供する情報をご確認ください。

複数の三菱電機製 FA エンジニアリングソフトウェア製品には、次の複数の脆弱性が存在します。

• 引用符で囲まれていないプログラムパス (CWE-428) - CVE-2020-14521

  CVSS v3

  CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

  基本値: 8.3

• パストラバーサル (CWE-22) - CVE-2020-14523

  CVSS v3

  CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

  基本値: 8.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、不適切な権限が与えられた一部のファイルを悪意のあるファイルに置き換えられ、悪意のあるコードを実行される。結果として、情報の取得、改ざんやサービス運用妨害 (DoS) 状態にされる。 - CVE-2020-14521
• 遠隔の第三者によって、プロジェクトファイルや設定データファイルに細工をされ、管理者権限のユーザが細工されたファイルを操作した場合に、実行ファイルや設定データファイルが書き換えられる。結果として、悪意のあるコードが実行される。 - CVE-2020-14523

アップデートする
開発者が提供する情報をもとに、各製品に対応したアップデートを適用してください。
アップデートは、こちらから入手可能とのことです。

CVE-2020-14521

• C 言語コントローラインタフェースユニットユーティリティ Ver. 2.10 およびそれ以降
• CC-Link IE コントローラネットワークデータコレクタ：パソコンボード用 Ver. 1.01B およびそれ以降
• CC-Link IE フィールドネットワークデータコレクタ：パソコンボード用 Ver. 1.01B およびそれ以降
• CC-Link IE TSNデータコレクタ Ver. 1.01B およびそれ以降
• CPU ユニットロギング設定ツール Ver. 1.106K およびそれ以降
• CW Configurator Ver. 1.011M およびそれ以降
• データ転送ツール Ver. 3.43V およびそれ以降
• EZSocket Ver. 5.2 およびそれ以降 (*1)
• FR Configurator2 Ver. 1.27D およびそれ以降
• GT Designer3 Version1 (GOT1000) Ver. 1.245F およびそれ以降
• GT Designer3 Version1 (GOT2000) Ver. 1.245F およびそれ以降
• GT SoftGOT1000 Version3 Ver. 3.245F およびそれ以降
• GT SoftGOT2000 Version1 Ver. 1.245F およびそれ以降
• GX Developer Ver. 8.505B およびそれ以降
• GX LogViewer Ver. 1.106K およびそれ以降
• GX Works2 Ver. 1.605F およびそれ以降
• GX Works3 Ver. 1.065T およびそれ以降
• IU Data Transfer Ver.1.23 およびそれ以降
• IU Developer Ver.1.95 およびそれ以降
• IU Developer2 Ver.1.09 およびそれ以降
• M_CommDTM-IO-Link Ver. 1.04E およびそれ以降
• MELFA-Works Ver.4.5 およびそれ以降
• MELSOFT 環境削除ツール Ver.1.07H およびそれ以降
• MELSOFT EM Software Development Kit Ver. 1.020W およびそれ以降
• MELSOFT iQ AppPortal Ver.1.20W およびそれ以降
• MELSOFT Navigator Ver.2.78G およびそれ以降
• MI Configurator Ver. 1.005F およびそれ以降
• モーション制御設定 Ver. 1.006G およびそれ以降
• Motorizer Ver. 1.010L およびそれ以降
• MR Configurator2 Ver. 1.130L およびそれ以降
• MT Works2 Ver. 1.170C およびそれ以降
• MTConnect データコレクタ Ver. 1.1.5.0 およびそれ以降(*2)
• MX Component Ver.4.21X およびそれ以降
• MX MESInterface Ver.1.22Y およびそれ以降
• MX MESInterface-R Ver.1.13P およびそれ以降
• MX Sheet Ver.2.16S およびそれ以降
• ネットワークインタフェースボード CC IE Control ユーティリティ Ver. 1.30G およびそれ以降
• ネットワークインタフェースボード CC IE Fieldユーティリティ Ver. 1.17T およびそれ以降
• ネットワークインタフェースボード CC-Link Ver.2ユーティリティ Ver. 1.24A およびそれ以降
• ネットワークインタフェースボード MNETHユーティリティ Ver. 35M およびそれ以降
• ポジションボードユーティリティ 2 Ver. 3.30 およびそれ以降
• PX Developer Ver.1.54G およびそれ以降
• RT ToolBox2 Ver.3.74C およびそれ以降
• RT ToolBox3 Ver.1.90U およびそれ以降
• C言語コントローラ設定・モニタツール (SW3PVC-CCPU) Ver. 3.14Q およびそれ以降
• C言語コントローラ設定・モニタツール (SW4PVC-CCPU) Ver. 4.13P およびそれ以降
• SLMP データコレクタ Ver. 1.05F およびそれ以降

(*1) EZSocket は三菱電機パートナー企業向けの通信ミドルウェア製品であるため、対策版は三菱電機から各パートナー企業に直接提供される。
(*2) MTConnect データコレクタは Edgecross Marketplace から対策済のバージョンをダウンロードし入手するか、三菱電機の支社や代理店に問い合せて入手する。

CVE-2020-14523

• CW Configurator Ver.1.011M およびそれ以降
• FR Configurator2 Ver.1.23Z およびそれ以降
• GX Works2 Ver.1.596W およびそれ以降
• GX Works3 Ver.1.065T およびそれ以降
• MELSEC iQ-R シリーズ モーションユニット Ver.12 およびそれ以降
• MELSOFT iQ AppPortal Ver.1.20W およびそれ以降
• MELSOFT Navigator Ver.2.74C およびそれ以降
• MI Configurator Ver. 1.005F およびそれ以降
• MR Configurator2 Ver.1.115V およびそれ以降
• MT Works2 Ver.1.160S およびそれ以降
• MX Component Ver.4.21X およびそれ以降
• RT ToolBox3 Ver.1.80J およびそれ以降
• IU Configuration Tool Ver.1.05 およびそれ以降
• IU Developer2 Ver.1.09 およびそれ以降

ワークアラウンドを実施する
開発者によると、対策バージョンがリリースされていない、またはアップデートを適用できない場合には、次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。詳しくは、開発者が提供する情報をご確認ください。

CVE-2020-14521

• Windows を起動した際に「ファイル名に関する警告」メッセージが表示された場合は、ファイル名の変更等のメッセージの指示に従って適切な処置を行った後に、該当製品のインストールや操作を行なう。
• 該当製品を操作する際は、管理者権限を持つアカウント以外で操作する。
• 該当製品を使用するパソコンにウイルス対策ソフトを搭載する。
• すべての制御システムデバイスやシステムのネットワークへの接続を最小限に抑え、信頼できないネットワークやホストからアクセスできないようにする。
• 制御システムネットワークとリモートデバイスをファイアウォールで防御し、OA ネットワークから分離する。
• リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する。

CVE-2020-14523

• 該当製品で使用するプロジェクトファイルや設定データファイルを、メール、USBメモリ、ファイルサーバを介して第三者から受け取る場合は、ファイルが正しい入手経路で取得されたものであることを確認する。または、入手経路不明なファイルが混入してないことを確認する。
• 該当製品を操作する際は、管理者権限を持つアカウント以外で操作する (MELSEC iQ-Rシリーズ モーションユニットは非該当)。
• 該当製品を使用するパソコンにウイルス対策ソフトを搭載する (MELSEC iQ-Rシリーズ モーションユニットは非該当)。
• すべての制御システムデバイスやシステムのネットワークへの接続を最小限に抑え、信頼できないネットワークやホストからのアクセスを制限する。
• 制御システムネットワークとリモートデバイスをファイアウォールで防御し、OA ネットワークから分離する。
• リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する。

後続製品に移行する
CVE-2020-14521
開発者によると、次に示す製品に関しては対策版が提供されないため、後続製品への移行を検討してください。

• FR Configurator SW3 の場合：
  • 800シリーズ インバータへの移行および設定ツールFR Configurator2(SW1DND-FRC2-J) への移行
• GT Designer2 Classic の場合：
  • GOT2000シリーズへの移行および画面作成ソフトウェアGT Designer3 Version1(GOT2000)(SW1DND-GTWK3-JC) への移行
• WinCPU設定ユーティリティの場合：
  • MELSEC iQ-Rシリーズ WinCPUユニットへの移行および設定ツールCW Configurator(SW1DND-RCCPU-J) への移行

詳しくは、開発者が提供する情報をご確認ください。