Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Múltiples vulnerabilidades en productos Mitsubishi Electric

Fecha de publicación 01/06/2023
Identificador
INCIBE-2023-0203
Importancia
4 - Alta
Recursos Afectados

Todas las versiones de los productos:

  • RJ71EIP91,
  • SW1DNN-EIPCT-BD,
  • FX5-ENET/IP,
  • SW1DNN-EIPCTFX5-BD.
Descripción

Iie Karada ha reportado al fabricante 4 vulnerabilidades, 1 de severidad alta y 3 medias, cuya explotación podría permitir la omisión de autenticación, subida y descarga de archivos, y divulgación de opciones de configuración.

Solución

El fabricante recomienda aplicar las medidas de mitigación descritas en su propio aviso:

  • utilizar un firewall o una VPN,
  • emplear una LAN y bloquear accesos de redes no confiables,
  • restringir el acceso físico,
  • evitar la subida o descarga de archivos usando FTP,
  • utilizar la función de filtrado de IP para FX5-ENET/IP.
  •  firmware versión "06" y posterior.
Detalle

La vulnerabilidad de severidad alta, de tipo omisión de autenticación en la función FTP del módulo EtherNet/IP, debido a unos requisitos de contraseña débiles, podría permitir que un atacante remoto, no autenticado, acceda al módulo a través de FTP mediante un ataque de diccionario o el sniffing de contraseñas. Se ha asignado el identificador CVE-2023-2060 para esta vulnerabilidad.

Las 3 vulnerabilidades de severidad media tienen asignadas los identificadores CVE-2023-2061, CVE-2023-2062 y CVE-2023-2063.