D0/100
脆弱性 · 中
三菱電機数値制御装置にサービス運用妨害の脆弱性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 三菱電機製数値制御装置（CNC）を使用する製造現場
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
要点
- 三菱電機数値制御装置（CNC）に、入力値インデックス、位置、オフセットの不適切な検証に起因するサービス運用妨害（DoS）の脆弱性が存在することが、JVNで公開された
- 情報源にはCVSSスコア、CVE番号、悪用の有無、修正版の提供状況の記載がない
- 攻撃により装置の動作が妨げられるおそれがあるが、詳細な影響範囲は情報源からは確認できない
なぜ重要か
CNCを運用する製造現場では、装置の停止により生産に影響が出るおそれがある。該当機種を利用している開発・保守担当者は、JVNの脆弱性情報で対象機種と対策の有無を確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中0項目が「はい」
| いいえ | 開発者に影響 | 産業用の数値制御装置であり、開発者やIT部門が日常的に使うソフトウェアではないため該当しない |
| いいえ | 基幹インフラ | JVNは三菱電機のCNC製品1機種群の脆弱性を伝えており、基幹インフラ級のソフトウェアではない |
| いいえ | 人気ツール | CNCは特定の産業分野で使われる機器であり、開発者が広く使う一般的な技術ではない |
| いいえ | 悪用確認済み | JVNの記事は脆弱性の存在を伝えるのみで、実際の攻撃が観測されたとは述べていない |
| いいえ | 公開エクスプロイト | JVNの記事はエクスプロイトや概念実証の公開について言及していない |
| いいえ | 認証不要のリモート攻撃 | JVNの記事は攻撃条件として認証不要やネットワーク経由の悪用可能性に言及していない |
| いいえ | 完全な乗っ取り | JVNの記事に記載されているのはサービス運用妨害（DoS）であり、コード実行や権限奪取ではない |
| いいえ | シークレットの流出 | JVNの記事に認証情報や設定、データの流出に関する記述はない |
| いいえ | サプライチェーン | JVNの記事は製品自体の脆弱性であり、悪意あるコードの配布経路に関する記述はない |
| いいえ | 修正なし | JVNの記事は修正版の提供状況や回避策について言及していない |
タイムライン
JVNで脆弱性情報が公開された
jvn.jp
三菱電機数値制御装置におけるサービス運用妨害（DoS）の脆弱性
出典
三菱電機数値制御装置におけるサービス運用妨害（DoS）の脆弱性 ↗ jvn.jp · 3時間前