公開日:2021/02/18 最終更新日:2025/06/05

JVNVU#92330101
三菱電機製 FA エンジニアリングソフトウェア製品における複数の脆弱性

概要

三菱電機製 FA エンジニアリングソフトウェア製品には、複数の脆弱性が存在します。

影響を受けるシステム

  • CPUユニットロギング設定ツール (*1) Ver. 1.112R およびそれ以前
  • CW Configurator (*1) Ver. 1.011M およびそれ以前
  • データ転送ツール (*3) Ver. 3.44W およびそれ以前
  • EZSocket (*1)(*2)(*3) Ver. 5.4 およびそれ以前
  • FR Configurator (*2) 全バージョン
  • FR Configurator SW3 (*2) 全バージョン
  • FR Configurator2 (*2) Ver. 1.24A およびそれ以前
  • GT Designer3 Version1(GOT1000) (*3) Ver. 1.250L およびそれ以前
  • GT Designer3 Version1(GOT2000) (*3) Ver. 1.250L およびそれ以前
  • GT SoftGOT1000 Version3 (*3) Ver. 3.245F およびそれ以前
  • GT SoftGOT2000 Version1 (*3) Ver. 1.250L およびそれ以前
  • GX Configurator-DP (*1) Ver. 7.14Q およびそれ以前
  • GX Configurator-QP (*1) 全バージョン
  • GX Developer (*1) Ver. 8.506C およびそれ以前
  • GX Explorer (*1) 全バージョン
  • GX IEC Developer (*1) 全バージョン
  • GX LogViewer (*1) Ver. 1.115U およびそれ以前
  • GX RemoteService-I (*1) 全バージョン
  • GX Works2 (*1) Ver. 1.597X およびそれ以前
  • GX Works3 (*1) Ver. 1.070Y およびそれ以前
  • iQMonozukuri アンドン (データ転送ツール(*3)) 1.003D およびそれ以前
  • iQMonozukuri 工程リモート監視 (データ転送ツール(*3)) 1.002C およびそれ以前
  • M_CommDTM-HART (*1) 全バージョン
  • M_CommDTM-IO-Link (*1) Ver. 1.03D およびそれ以前
  • MELFA-Works (*1) Ver. 4.4 およびそれ以前
  • WinCPU設定ユーティリティ (*1) 全バージョン
  • MELSOFT EM Software Development Kit (EM Configurator) (*1) 1.015R およびそれ以前
  • MELSOFT Navigator (*1)(*2)(*3) Ver. 2.74C およびそれ以前
  • MH11 SettingTool Version2 (*1) Ver. 2.004E およびそれ以前
  • MI Configurator (*1) Ver. 1.004E およびそれ以前
  • MT Works2 (*1) Ver. 1.167Z およびそれ以前
  • MX Component (*1)(*2)(*3) Ver. 5.001B およびそれ以前
  • ネットワークインタフェースボード CC IE Control ユーティリティ (*1) Ver. 1.29F およびそれ以前
  • ネットワークインタフェースボード CC IE Fieldユーティリティ (*1) Ver. 1.16S およびそれ以前
  • ネットワークインタフェースボード CC-Link Ver.2ユーティリティ (*1) Ver. 1.23Z およびそれ以前
  • ネットワークインタフェースボード MNETHユーティリティ (*1) Ver. 34L およびそれ以前
  • PX Developer (*1) Ver. 1.53F およびそれ以前
  • RT ToolBox2 (*1) Ver. 3.73B およびそれ以前
  • RT ToolBox3 (*1) Ver. 1.82L およびそれ以前
  • C言語コントローラ設定・モニタツール (SW4PVC-CCPU) (*1) Ver. 4.12N およびそれ以前
  • SLMPデータコレクタ (*1) Ver. 1.04E およびそれ以前
(*1) 三菱電機製シーケンサ製品と通信を行うソフトウェア製品
(*2) 三菱電機製インバータ製品と通信を行うソフトウェア製品
(*3) 三菱電機製 GOT 製品と通信を行うソフトウェア製品

詳しくは、開発者が提供する情報をご確認ください。

詳細情報

三菱電機株式会社が提供する FA エンジニアリングソフトウェア製品には、次の複数の脆弱性が存在します。

  • ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2021-20587
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5
  • レングスパラメーターの不整合による不適切な処理 (CWE-130) - CVE-2021-20588
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値: 7.5

想定される影響

遠隔の第三者が三菱電機製シーケンサ、GOT、あるいはインバータ製品になりすまして一部細工した応答パケットを返信し、当該製品に受信させることにより、当該製品をサービス運用妨害 (DoS) 状態にさせる可能性があります。また、悪意のあるプログラムが実行される可能性もあります。

対策方法

アップデートする
対策版が提供されている製品およびバージョンがある場合は、開発者が提供する情報をもとに、アップデートを適用してください。
対策済みの製品およびバージョンについては、開発者が提供する情報を確認してください。

ワークアラウンドを実施する
対策版が提供されていない製品を使用している場合、またはアップデートを適用できない場合には、開発者が提供する情報をもとに回避策または軽減策を適用してください。
対策版が提供されない製品およびバージョンについては、開発者が提供する情報を確認してください。

詳しくは、開発者が提供する情報をご確認ください。

参考情報

  1. ICS Advisory (ICSA-21-049-02)
    Mitsubishi Electric FA engineering software products

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2021-20587
CVE-2021-20588
JVN iPedia

更新履歴

2021/02/19
[参考情報]に ICS Advisory のリンクを追加しました
2021/05/27
[影響を受けるシステム]および[対策方法]を更新しました
2021/07/27
[影響を受けるシステム]および[対策方法]を更新しました
2021/11/16
[影響を受けるシステム]および[対策方法]を更新しました
2022/02/08
[影響を受けるシステム]および[対策方法]を更新しました
2022/05/24
[影響を受けるシステム]および[対策方法]を更新しました
2022/07/28
[影響を受けるシステム]および[対策方法]を更新しました
2022/08/02
[対策方法]を更新しました
2022/11/17
[影響を受けるシステム]および[対策方法]を更新しました
2025/06/05
[詳細情報]、[影響を受けるシステム]、[対策方法]を更新しました