Эксплуатируя уязвимости, злоумышленник мог выполнить атаку класса «отказ в обслуживании». Производитель устранил проблемы в новой прошивке
Эксперт Positive Technologies Антон Дорфман обнаружил две уязвимости в контроллерах Mitsubishi серии MELSEC iQ-F — эти устройства применяются в пищевой и легкой промышленности, в деревообработке, типографиях, водном хозяйстве, судоходстве, для автоматизации инженерных систем зданий и в других сферах.
Mitsubishi входит в тройку мировых лидеров на рынке промышленных контроллеров — компания выпустила свыше 17 миллионов компактных ПЛК1. Продукты для промышленной автоматизации Mitsubishi используются российскими предприятиями более 20 лет.
Уязвимости были обнаружены в моноблочных компактных контроллерах FX5S, FX5UJ, FX5U, FX5UC серии MELSEC iQ-F.
Более опасной признана уязвимость CVE-2022-25161 (оценка 8,6 по шкале CVSS v3.1). Эксплуатация этой уязвимости позволяет читать и писать за пределами разрешенного диапазона памяти. Запись случайных значений приводит к целочисленному переполнению, что вызывает отказ в обслуживании устройства. Вторая уязвимость, CVE-2022-25162, также связанная с риском DoS-атаки, менее опасна (для восстановления пораженного контроллера не нужна перезагрузка, уязвимость не оказывает влияния на другие компоненты системы) — она получила оценку 5,3.
Для снижения риска эксплуатации уязвимостей вендор выпустил рекомендации и представил новую прошивку, в которой проблемы устранены. Чтобы предотвратить атаки в тех случаях, когда требуется доступ в интернет, Mitsubishi рекомендует использовать межсетевые экраны или виртуальную частную сеть (VPN). Кроме того, специалисты компании советуют применять функцию IP-фильтра для ограничения подключений к продуктам и предотвращения доступа из ненадежных сетей или узлов.
Компания Mitsubishi поблагодарила Антона Дорфмана за обнаружение уязвимостей. Ранее специалисты Positive Technologies обнаружили в контроллерах Mitsubishi множественные уязвимости, которые потенциально могли привести к компрометации сети АСУ ТП.
- Программируемый логический контроллер.