JVNVU#99690199
三菱電機製MELSEC-Q/LシリーズCPUユニットにおける複数の脆弱性

三菱電機株式会社が提供するMELSEC-Q/LリーズのCPUユニットには、複数の脆弱性が存在します。

• MELSEC-Qシリーズ
  • Q03UDECPU、Q04/06/10/13/20/26/50/100UDEHCPU 全バージョン
  • Q03/04/06/13/26UDVCPU 全バージョン
  • Q04/06/13/26UDPVCPU 全バージョン
• MELSEC-Lシリーズ
  • L02/06/26CPU(-P)、L26CPU-(P)BT 全バージョン

三菱電機株式会社が提供するMELSEC-Q/LリーズのCPUユニットには、次の複数の脆弱性が存在します。

• 不正なポインタの増減（CWE-468）- CVE-2024-0802、CVE-2024-1915
• 整数オーバーフローまたはラップアラウンド（CWE-190）- CVE-2024-0803、CVE-2024-1916、CVE-2024-1917

想定される影響は各脆弱性により異なりますが、次のような可能性があります。

CVE-2024-0802
遠隔の第三者によって細工されたパケットを当該製品が受信することで、当該製品の任意の情報が取得されたり悪意のあるプログラムが実行されたりする

CVE-2024-0803、CVE-2024-1915、CVE-2024-1916、CVE-2024-1917
遠隔の第三者によって細工されたパケットを当該製品が受信することで、悪意のあるプログラムが実行される

ワークアラウンドを実施する
開発者によると、本脆弱性への対策は近日中に対応する予定とのことです。
対策がリリースされるまでの間、次の回避策または軽減策を適用することで、本脆弱性の影響を軽減することが可能です。

• 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用し、不正アクセスを防止する
• 当該製品をLAN内で使用し、信頼できないネットワークやホストからのアクセスをファイアウォールでブロックする
• 当該製品が接続されたLANへの物理的なアクセスを制限する