JVNVU#96471539
三菱電機製空調管理システムにおける認証回避の脆弱性

三菱電機製の空調管理システムには、認証回避の脆弱性が存在します。

• G-50 全バージョン
• G-50-W 全バージョン
• G-50A 全バージョン
• GB-50 全バージョン
• GB-50A 全バージョン
• GB-24A 全バージョン
• G-150AD 全バージョン
• AG-150A-A 全バージョン
• AG-150A-J 全バージョン
• GB-50AD 全バージョン
• GB-50ADA-A 全バージョン
• GB-50ADA-J 全バージョン
• EB-50GU-A 全バージョン
• EB-50GU-J 全バージョン
• AE-200J 全バージョン
• AE-200A 全バージョン
• AE-200E 全バージョン
• AE-50J 全バージョン
• AE-50A 全バージョン
• AE-50E 全バージョン
• EW-50J 全バージョン
• EW-50A 全バージョン
• EW-50E 全バージョン
• TE-200A 全バージョン
• TE-50A 全バージョン
• TW-50A 全バージョン
• CMS-RMD-J 全バージョン

三菱電機製の空調管理システムには、重要な機能に対する認証の欠如に起因した認証回避の脆弱性（CWE-306、CVE-2025-3699）が存在します。

遠隔の第三者によって当該製品の認証を回避しアクセスされ、空調管理システムの機微な情報の取得や不正操作などをされる可能性があります。
また、取得した機微な情報を使用し、当該製品のファームウェアを改ざんされる可能性もあります。
なお、本脆弱性が悪用される条件は、システム構成によって異なります。

詳しくは、開発者が提供する情報を確認してください。

ワークアラウンドを実施する
開発者によると、本脆弱性に対応した修正版ファームウェア提供の予定はないとのことです。
そのため、本脆弱性の影響を軽減するために、次に示す緩和策・軽減策を講じることが推奨されています。

• 該当製品へのアクセスを、信頼できるネットワークやホストからのアクセスに制限する
• 該当製品および当該製品へアクセス可能なPCならびにそれらが接続されているネットワークへの物理的なアクセスを制限する