公開日：2024/02/20 最終更新日：2024/06/21
JVNVU#98754764
三菱電機製放電加工機におけるリモートコード実行の脆弱性
三菱電機製放電加工機にはリモートコードが実行可能な脆弱性が存在します。
- ワイヤ放電加工機MVシリーズ
- ワイヤ放電加工機MPシリーズ
- ワイヤ放電加工機MXシリーズ
- 形彫放電加工機SV-Pシリーズ
- 形彫放電加工機SGシリーズ
システム番号、バージョンおよび特別修正パッチがインストールされているかについての確認方法は、開発者が提供する次の取扱説明書の項を参照してください。取扱説明書は、放電加工機の操作画面右下隅にある「eﾏﾆｭｱﾙ」ボタンから参照できます。
- ワイヤ放電加工機取扱説明書：Ⅵ NC操作表示画面 3.初期設定 3.3システム更新 3.3.3 バージョン情報
- 形彫放電加工機取扱説明書：Ⅴ NC操作表示画面 3.初期設定 3.3システム更新 3.3.2 バージョン情報
三菱電機製放電加工機には、Microsoft WindowsのコンポーネントであるMicrosoft Message Queuingの既知の脆弱性（CWE-94、CVE-2023-21554）の影響を受け、リモートでコード実行が可能となる問題が存在します。
遠隔の第三者によって細工されたメッセージを当該製品が受信することで、悪意のあるプログラムを実行される可能性があります。結果として、当該製品内の情報が窃取、改ざん、破壊または削除されたり、当該製品がサービス運用妨害（DoS）状態となる可能性があります。
復旧にはシステムの再起動や再インストールが必要となります。
パッチを適用する
次の機種に関しては、開発者が提供する情報をもとに、特別修正パッチ（BRD-C62W003-A0）をインストールしてください。
- ワイヤ放電加工機
- 形彫放電加工機
特別修正パッチがインストールされたか否かの確認方法は、開発者が提供する次の取扱説明書の項を参照してください。
- ワイヤ放電加工機取扱説明書：Ⅵ NC 操作表示画面 3.初期設定 3.3 システム更新 3.3.3 バージョン情報
- 形彫放電加工機取扱説明書：Ⅴ NC 操作表示画面 3.初期設定 3.3 システム更新 3.3.2 バージョン情報
ワークアラウンドを実施する
開発者は以下の回避策・軽減策の適用を推奨しています。
- 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用し、不正アクセスを防止する
- 当該製品をLAN内で使用し、信頼できないネットワークやホストからのアクセスをファイアウォールでブロックする
- 当該製品ならびに当該製品と通信可能なコンピュータおよびネットワーク機器への物理的なアクセスを制限する
| ベンダ | リンク |
| 三菱電機株式会社 | 三菱電機放電加工機におけるMicrosoft Message Queuingに起因する悪意のあるプログラムが実行される脆弱性 |
-
Microsoft Corporation
Microsoft Message Queuing のリモートでコードが実行される脆弱性 -
ICS Advisory | ICSA-24-051-03
Mitsubishi Electric Electrical Discharge Machines
CVSS v3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
基本値:
9.8
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
- 2024/02/21
- ［参考情報］にICS Advisoryのリンクを追加しました
- 2024/05/16
- ［影響を受けるシステム］および［対策方法］を更新しました
- 2024/06/21
- ［対策方法］を更新しました
