BDU:2023-01792

Опубликовано: 20 июл. 2022

Источник: fstec

CVSS3: 7.8

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость программных пакетов для диспетчерского управления и сбора данных MC Works64 и ICONICS Suite связана с ошибками десериализации данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем загрузки пользователем XAML-файла

Вендор

Mitsubishi Electric Corporation

ICONICS

Наименование ПО

MC Works64

GENESIS64

Версия ПО

до 10.95.210.01 включительно (MC Works64)

от 10.97 до 10.97.1 включительно (GENESIS64)

Тип ПО

Средство АСУ ТП

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничить доступ к 38080 и 6002 TCP-портам;

- ограничение доступа к устройству из внешних сетей (Интернет);

- использование средств межсетевого экранирования для ограничения доступа к устройству;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2022-008_en.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 30%

0.00111

Низкий

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVE-2022-33315

CVSS3: 7.8

nvd

больше 3 лет назад

Deserialization of Untrusted Data vulnerability in Mitsubishi Electric GENESIS64 versions 10.97 to 10.97.1, Mitsubishi Electric Iconics Digital Solutions GENESIS64 versions 10.97 to 10.97.1, Mitsubishi Electric ICONICS Suite versions 10.97 to 10.97.1, Mitsubishi Electric Iconics Digital Solutions ICONICS Suite versions 10.97 to 10.97.1, and Mitsubishi Electric MC Works64 versions 4.04E and prior allows an unauthenticated attacker to execute an arbitrary malicious code by leading a user to load a monitoring screen file including malicious XAML codes.

GHSA-93rr-jgp3-wcw3

CVSS3: 7.8

github

больше 3 лет назад

Deserialization of Untrusted Data vulnerability in ICONICS GENESIS64 versions 10.97.1 and prior and Mitsubishi Electric MC Works64 versions 4.04E (10.95.210.01) and prior allows an unauthenticated attacker to execute an arbitrary malicious code by leading a user to load a monitoring screen file including malicious XAML codes.

EPSS

Процентиль: 30%

0.00111

Низкий

7.8 High

CVSS3

7.2 High

CVSS2