BDU:2022-07402

Опубликовано: 24 нояб. 2022

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость механизма разграничения доступа программного обеспечения для программирования ПЛК Mitsubishi Electric GX Works3 связана c использованием жестко закодированного криптографического ключа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем подмены файла проекта

Вендор

Mitsubishi Electric Corporation

Наименование ПО

GX Works3

Версия ПО

от 1.000a до 1.011m включительно (GX Works3)

от 1.015r до 1.086q включительно (GX Works3)

до 1.087r включительно (GX Works3)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- сегментирование сети с целью ограничения доступа к промышленному оборудованию;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа.

- использование антивирусных средств защиты.

Использование рекомендаций производителя:

https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2022-015_en.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-29830
CVE

EPSS

Процентиль: 81%

0.01546

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2022-29830

CVSS3: 9.1

nvd

около 3 лет назад

Use of Hard-coded Cryptographic Key vulnerability in Mitsubishi Electric GX Works3 versions from 1.000A to 1.095Z, and Motion Control Setting(GX Works3 related software) versions from 1.000A to 1.065T allows a remote unauthenticated attacker to disclose or tamper with sensitive information. As a result, unauthenticated attackers may obtain information about project files illegally.

GHSA-3p64-2ppg-fm8m

CVSS3: 9.1

github

около 3 лет назад

Use of Hard-coded Cryptographic Key vulnerability in Mitsubishi Electric GX Works3 all versions allows a remote unauthenticated attacker to disclose or tamper with sensitive information. As a result, unauthorized users may obtain information about project files illegally.

EPSS

Процентиль: 81%

0.01546

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2