JVNVU#92330101
三菱電機製 FA エンジニアリングソフトウェア製品における複数の脆弱性

三菱電機製 FA エンジニアリングソフトウェア製品には、複数の脆弱性が存在します。

• CPUユニットロギング設定ツール (*1) Ver. 1.112R およびそれ以前
• CW Configurator (*1) Ver. 1.011M およびそれ以前
• データ転送ツール (*3) Ver. 3.44W およびそれ以前
• EZSocket (*1)(*2)(*3) Ver. 5.4 およびそれ以前
• FR Configurator (*2) 全バージョン
• FR Configurator SW3 (*2) 全バージョン
• FR Configurator2 (*2) Ver. 1.24A およびそれ以前
• GT Designer3 Version1(GOT1000) (*3) Ver. 1.250L およびそれ以前
• GT Designer3 Version1(GOT2000) (*3) Ver. 1.250L およびそれ以前
• GT SoftGOT1000 Version3 (*3) Ver. 3.245F およびそれ以前
• GT SoftGOT2000 Version1 (*3) Ver. 1.250L およびそれ以前
• GX Configurator-DP (*1) Ver. 7.14Q およびそれ以前
• GX Configurator-QP (*1) 全バージョン
• GX Developer (*1) Ver. 8.506C およびそれ以前
• GX Explorer (*1) 全バージョン
• GX IEC Developer (*1) 全バージョン
• GX LogViewer (*1) Ver. 1.115U およびそれ以前
• GX RemoteService-I (*1) 全バージョン
• GX Works2 (*1) Ver. 1.597X およびそれ以前
• GX Works3 (*1) Ver. 1.070Y およびそれ以前
• iQMonozukuri アンドン (データ転送ツール(*3)) 全バージョン
• iQMonozukuri 工程リモート監視 (データ転送ツール(*3)) 全バージョン
• M_CommDTM-HART (*1) 全バージョン
• M_CommDTM-IO-Link (*1) Ver. 1.03D およびそれ以前
• MELFA-Works (*1) Ver. 4.4 およびそれ以前
• WinCPU設定ユーティリティ (*1) 全バージョン
• MELSOFT EM Software Development Kit (EM Configurator) (*1) 1.015R およびそれ以前
• MELSOFT Navigator (*1)(*2)(*3) Ver. 2.74C およびそれ以前
• MH11 SettingTool Version2 (*1) Ver. 2.004E およびそれ以前
• MI Configurator (*1) Ver. 1.004E およびそれ以前
• MT Works2 (*1) Ver. 1.167Z およびそれ以前
• MX Component (*1)(*2)(*3) Ver. 5.001B およびそれ以前
• ネットワークインタフェースボード CC IE Control ユーティリティ (*1) Ver. 1.29F およびそれ以前
• ネットワークインタフェースボード CC IE Fieldユーティリティ (*1) Ver. 1.16S およびそれ以前
• ネットワークインタフェースボード CC-Link Ver.2ユーティリティ (*1) Ver. 1.23Z およびそれ以前
• ネットワークインタフェースボード MNETHユーティリティ (*1) Ver. 34L およびそれ以前
• PX Developer (*1) Ver. 1.53F およびそれ以前
• RT ToolBox2 (*1) Ver. 3.73B およびそれ以前
• RT ToolBox3 (*1) Ver. 1.82L およびそれ以前
• C言語コントローラ設定・モニタツール (SW4PVC-CCPU) (*1) Ver. 4.12N およびそれ以前
• SLMPデータコレクタ (*1) Ver. 1.04E およびそれ以前

(*1) 三菱電機製シーケンサ製品と通信を行うソフトウェア製品
(*2) 三菱電機製インバータ製品と通信を行うソフトウェア製品
(*3) 三菱電機製 GOT 製品と通信を行うソフトウェア製品

詳しくは、開発者が提供する情報をご確認ください。

三菱電機株式会社が提供する FA エンジニアリングソフトウェア製品には、次の複数の脆弱性が存在します。

• ヒープベースのバッファオーバーフロー (CWE-122) - CVE-2021-20587

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

• 長さパラメータの不整合時の不適切な取り扱い (CWE-130) - CVE-2021-20588

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  基本値: 7.5

遠隔の第三者が三菱電機製シーケンサ、GOT、あるいはインバータ製品になりすまして一部細工した応答パケットを返信し、当該製品に受信させることにより、当該製品をサービス運用妨害 (DoS) 状態にさせる可能性があります。また、悪意のあるプログラムが実行される可能性もあります。

アップデートする
開発者が提供する情報をもとに、各製品に対応したアップデートを適用してください。
対策済みの製品は次の通りです。

• CPUユニットロギング設定ツール Ver. 1.118X およびそれ以降
• CW Configurator Ver. 1.012N およびそれ以降
• データ転送ツール Ver. 3.45X およびそれ以降 (*4)
• EZSocket Ver. 5.5 およびそれ以降 (*5)
• FR Configurator2 Ver. 1.25B およびそれ以降
• GT Designer3 Version1 (GOT1000) Ver. 1.255R およびそれ以降
• GT Designer3 Version1 (GOT2000) Ver. 1.255R およびそれ以降
• GT SoftGOT1000 Version3 Ver. 3.255R およびそれ以降
• GT SoftGOT2000 Version1 Ver. 1.255R およびそれ以降
• GX Configurator-DP Ver. 7.15R およびそれ以降 (*6)
• GX Developer Ver. 8.507D およびそれ以降
• GX LogViewer Ver. 1.118X およびそれ以降
• GX Works2 Ver. 1.600A およびそれ以降
• GX Works3 Ver. 1.072A およびそれ以降
• M_CommDTM-IO-Link Ver. 1.04E およびそれ以降
• MELFA-Works Ver. 4.5 およびそれ以降
• MELSOFT EM Software Development Kit (EM Configurator) Ver.1.020W およびそれ以降
• MELSOFT Navigator Ver. 2.78G およびそれ以降
• MH11 SettingTool Version2 Ver. 2.005F およびそれ以降
• MI Configurator Ver. 1.005F およびそれ以降
• MT Works2 Ver. 1.170C およびそれ以降
• MX Component Ver. 5.002C およびそれ以降
• ネットワークインタフェースボード CC IE Control ユーティリティ Ver. 1.30G およびそれ以降
• ネットワークインタフェースボード CC IE Fieldユーティリティ Ver. 1.17T およびそれ以降
• ネットワークインタフェースボード CC-Link Ver.2ユーティリティ Ver. 1.24A およびそれ以降
• ネットワークインタフェースボード MNETHユーティリティ Ver. 35M およびそれ以降
• PX Developer Ver. 1.54G およびそれ以降
• RT ToolBox2 Ver. 3.74C およびそれ以降
• RT ToolBox3 Ver. 1.90U およびそれ以降
• C言語コントローラ設定・モニタツール (SW4PVC-CCPU) Ver. 4.13P およびそれ以降
• SLMPデータコレクタ Ver. 1.05F およびそれ以降

(*4) iQ Monozukuri アンドン及び iQ Monozukuri 工程リモート監視は、データ転送ツールの最新版をダウンロードしアップデートしたうえで利用すること
(*5) EZSocket の対策品は、開発者からパートナー企業に直接提供される
(*6) GX Configurator-DP に関しては、製品を購入した支社、代理店に相談すること

ワークアラウンドを実施する
対策版が提供されていない製品を使用している場合、またはアップデートを適用できない場合には、次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。

• 三菱電機製シーケンサと通信を行うソフトウェア製品の場合、該当製品をインストールしているパソコンに、対策済の GX Works3 をインストールする
• 三菱電機製インバータと通信を行うソフトウェア製品の場合、該当の製品をインストールしているパソコンに、対策済の FR　Configurator2 をインストールする
• GOT 製品と通信を行うソフトウェア製品の場合、該当の製品をインストールしているパソコンに、対策済の GT Designer3 をインストールする
• 該当製品を管理者権限を持たないアカウントで操作する
• 該当製品を使用するパソコンにウイルス対策ソフトを搭載する
• すべての制御システムデバイスやシステムのネットワークへの接続を最小限に抑え、信頼できないネットワークやホストからアクセスできないようにする
• 制御システムネットワークとリモートデバイスをファイアウォールで防御し、OA ネットワークから分離する
• リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する

詳しくは、開発者が提供する情報をご確認ください。