CISA警告影响三菱电机PLC的多个关键漏洞

美国网络安全和基础设施安全局（CISA）本周发布了一份工业控制系统（ICS）咨询警告，警告三菱电机GX Works3工程软件存在多个漏洞。

该机构表示：“成功利用这些漏洞可能会让未经授权的用户访问MELSEC iQ-R/F/L系列CPU模块和MELSEC iQ-R系列OPC UA服务器模块，或查看和执行程序”。

GX Works3是一种用于ICS环境的工程工作站软件，用作从控制器上传和下载程序、排除软件和硬件问题以及执行维护操作的机制。

广泛的功能也使该平台成为威胁行为体的一个有吸引力的目标，这些威胁行为体希望破坏此类系统以控制受管理的PLC。

10个缺点中有3个与敏感数据的明文存储有关，4个与使用硬编码密码密钥有关，2个与使用软编码密码有关，1个与证书保护不足有关。

最关键的漏洞CVE-2022-25164和CVE-2022-202830的CVSS评分为9.1，可能被滥用以获得对CPU模块的访问权和获取有关项目文件的信息，而不需要任何权限。

发现CVE-2022-29831（CVSS得分：7.5）的Nozomi Networks表示，能够访问安全PLC项目文件的攻击者可以利用硬编码密码直接访问安全CPU模块，并可能中断工业过程。

该公司表示：“工程软件是工业控制器安全链的关键组成部分”。“如果其中出现任何漏洞，对手可能会滥用这些漏洞，最终危及受管理的设备，进而危及受监管的工业过程”。

此次披露之际，CISA披露了三菱电机MELSEC iQ-R系列中的拒绝服务（DoS）漏洞的细节，该漏洞源于缺乏适当的输入验证（CVE-2022-40265，CVSS评分：8.6）。

CISA指出：“成功利用此漏洞可使未经身份验证的远程攻击者通过发送特制的数据包在目标产品上造成拒绝服务条件”。

在相关的发展中，网络安全机构进一步概述了影响Horner Automation远程紧凑型控制器（RCC）972的三个问题，其中最关键的问题（CVE-2022-2641，CVSS评分：9.8）可能导致远程代码执行或导致DoS情况。