เมื่อวันที่ 12 ตุลาคม 2566 Cybersecurity and Infrastructure Security Agency (CISA) ได้ประเมินความเสี่ยงและใช้ประโยชน์จากช่องโหว่นี้สำเร็จอาจทำให้ผู้โจมตีระยะไกลสามารถรับโปรแกรมลำดับจากผลิตภัณฑ์ เขียนโปรแกรมลำดับที่เป็นอันตราย หรือข้อมูลที่ไม่เหมาะสมในผลิตภัณฑ์โดยไม่มีการรับรองความถูกต้อง

Mitsubishi Electric รายงานว่าเวอร์ชันต่อไปนี้ของตัวควบคุมแบบตั้งโปรแกรมได้ซีรีส์ MELSEC-F จะได้รับผลกระทบหากใช้กับอะแดปเตอร์พิเศษการสื่อสารอีเทอร์เน็ต FX3U-ENET-ADP หรือบล็อกการสื่อสารอีเทอร์เน็ต FX3U-ENET(-L)

• ซีรีส์ MELSEC-F FX3U-xMy/zx=16,32,48,64,80,128, y=T,R, z=ES,ESS,DS,DSS: ทุกเวอร์ชัน
• ซีรีส์ MELSEC-F FX3U-32MR/UA1, FX3U-64MR/UA1: ทุกเวอร์ชัน
• MELSEC-F FX3U-32MS/ES, FX3U-64MS/ES: ทุกเวอร์ชัน
• MELSEC-F FX3U-xMy/ES-A x=16,32,48,64,80,128, y=T,R: ทุกเวอร์ชัน
• MELSEC-F FX3UC-xMT/zx=16,32,64,96, z=D,DSS: ทุกเวอร์ชัน
• MELSEC-F FX3UC-16MR/DT, FX3UC-16MR/DS-T: ทุกเวอร์ชัน
• MELSEC-F FX3UC-32MT-LT, FX3UC-32MT-LT-2: ทุกเวอร์ชัน
• MELSEC-F FX3UC-16MT/D-P4, FX3UC-16MT/DSS-P4: ทุกเวอร์ชัน
• MELSEC-F FX3G-xMy/zx=14,24,40,60, y=T,R, z=ES,ESS,DS,DSS: ทุกเวอร์ชัน
• MELSEC-F FX3G-xMy/ES-A x=14,24,40,60, y=T,R: ทุกเวอร์ชัน
• MELSEC-F FX3GC-32MT/D, FX3GC-32MT/DSS: ทุกเวอร์ชัน
• MELSEC-F FX3GE-xMy/zx=24,40, y=T,R, z=ES,ESS,DS,DSS: ทุกเวอร์ชัน
• MELSEC-F FX3GA-xMy-CM x=24,40,60, y=T,R: ทุกเวอร์ชัน
• MELSEC-F FX3S-xMy/zx=10,14,20,30, y=T,R, z=ES,ESS,DS,DSS: ทุกเวอร์ชัน
• MELSEC-F FX3S-30My/z-2AD y=T,R, z=ES,ESS: ทุกเวอร์ชัน
• MELSEC-F FX3SA-xMy-CM x=10,14,20,30, y=T,R: ทุกเวอร์ชัน

มีการเปิดเผยข้อมูล การปลอมแปลงข้อมูล และช่องโหว่ในการข้ามการตรวจสอบสิทธิ์เนื่องจากการตรวจสอบสิทธิ์ที่ไม่เหมาะสมมีอยู่ในโมดูลหลักของซีรีส์ MELSEC-F
หมายเลขช่องโหว่ CVE-2023-4562 ได้รับการกำหนดให้กับช่องโหว่นี้ มีการคำนวณคะแนนฐาน CVSS v3 ที่ 9.1

Mitsubishi Electric ขอแนะนำให้ผู้ใช้งานใช้มาตรการบรรเทาผลกระทบต่อไปนี้เพื่อลดความเสี่ยงในการใช้ประโยชน์จากช่องโหว่นี้:

• ใช้ไฟร์วอลล์หรือเครือข่ายส่วนตัวเสมือน (VPN) ฯลฯ เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตเมื่อจำเป็นต้องมีการเข้าถึงอินเทอร์เน็ต
• ใช้ภายใน LAN และบล็อกการเข้าถึงจากเครือข่ายและโฮสต์ที่ไม่น่าเชื่อถือผ่านไฟร์วอลล์
• จำกัดการเข้าถึงทางกายภาพกับผลิตภัณฑ์ที่ได้รับผลกระทบและ LAN ที่เชื่อมต่ออยู่

ทั้งนี้ CISA สนับสนุนให้หน่วยงานต่างๆ ใช้กลยุทธ์ความปลอดภัยทางไซเบอร์ที่แนะนำสำหรับการป้องกันเชิงรุกของสินทรัพย์ ICS และคำแนะนำในการอัปเดตเฉพาะและคำแนะนำของ Mitsubishi Electri รายละเอียดเพิ่มเติมที่ https://www.cisa.gov/news-events/ics-advisories/icsa-23-285-13

อ้างอิง

1.https://www.cisa.gov/news-events/ics-advisories/icsa-23-285-13

สามารถติดตามข่าวสารได้ที่ webboard หรือ Facebook NCSA Thailand