BDU:2023-02792: Уязвимость микропрограммного обеспечения программируемых логических контроллеров Mitsubishi Electric Corporation MELSEC iQ-F Series CPU, вызванная переполнением буфера на стеке, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код

Описание уязвимости

Уязвимость микропрограммного обеспечения программируемых логических контроллеров Mitsubishi Electric Corporation MELSEC iQ-F Series CPU вызвана переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код путем отправки специально созданных пакетов

Вендор

Mitsubishi Electric Corporation

Наименование ПО

MELSEC iQ-F Series FX5U, MELSEC iQ-F Series FX5UС

Версия ПО

  • до 1.290 (MELSEC iQ-F Series FX5U)
  • до 1.290 (MELSEC iQ-F Series FX5UС)

Тип ПО

Средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Данные уточняются

Тип ошибки

Копирование буфера без проверки размера входных данных (классическое переполнение буфера)

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

03.05.2023

Базовый вектор уязвимости

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- ограничение доступа к устройству из общедоступных сетей (Интернет);
-использование средств межсетевого экранирования для ограничения доступа к устройству;
- использование фильтрации IP-адресов (раздел «12.1 IP Filter Function» в руководстве пользователя MELSEC iQ-F FX5 (Ethernet Communication);
- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя
https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2023-003_en.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Способ эксплуатации

  • Манипулирование структурами данных

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

Прочая информация

Данные уточняются
Последние изменения