JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は10月29日、「JVNVU#92513419: 三菱電機製 MELSEC iQ-R シリーズにおける複数の脆弱性」および「JVNVU#96558207: 三菱電機製 MELSEC iQ-R、Q および L シリーズにおけるリソース枯渇の脆弱性」において、三菱電機のシーケンサ製品「MELSEC」のiQ-Rシリーズ、QシリーズおよびLシリーズに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、攻撃者によって製品のネットワーク機能の停止や悪意あるプログラムの実行、サービス運用妨害 (DoS) 状態に陥らされるなどの危険性がある。

報告されている脆弱性は大きく2種類に分けられる。1つはMELSEC iQ-RシリーズのネットワークユニットのTCP/IP機能に存在する複数の脆弱性で、詳細は三菱電機による次の文書（PDFファイル）にまとめられている。

  • MELSEC iQ-Rシリーズの各種情報／ネットワークユニットのTCP/IP機能における複数の脆弱性

    MELSEC iQ-Rシリーズの各種情報／ネットワークユニットのTCP/IP機能における複数の脆弱性

影響を受けるシステムは次のとおり。

  • 【MELSEC iQ-Rシリーズ EtherNet/IP ネットワークインタフェースユニット】RJ71EIP91: シリアルNo.の上2桁が”02”およびそれ以下
  • 【MELSEC iQ-Rシリーズ PROFINET IOコントローラユニット】RJ71PN92:シリアルNo.の上2桁が”01”以下
  • 【MELSEC iQ-Rシリーズ高速データロガーユニット】RD81DL96: シリアルNo.の上2桁が”08”以下
  • 【MELSEC iQ-Rシリーズ MESインタフェースユニット】RD81MES96N: シリアルNo.の上2桁が”04”以下
  • 【MELSEC iQ-Rシリーズ OPC UAサーバユニット】RD81OPC96: シリアルNo.の上2桁が”04”以下

各ユニットのシリアルNo.は、GX Works3のシステムモニタで確認できるとのこと。影響を受けるシステムでは、悪意ある第三者によって細工されたパケットを受信した場合、ネットワーク機能が停止させられたり、悪意のあるプログラムを実行されたりする危険性がある。

もう1つの脆弱性はMELSEC iQ-R、QおよびLシリーズのCPU ユニットに存在するリソース枯渇の脆弱性で、詳細は次の文書（PDFファイル）にまとめられている。

  • MELSEC iQ-R、QおよびLシリーズCPUユニットのEthernetポートにおけるサービス拒否(DoS)の脆弱性

    MELSEC iQ-R、QおよびLシリーズCPUユニットのEthernetポートにおけるサービス拒否(DoS)の脆弱性

影響を受けるシステムは次のとおり。

【iQ-Rシリーズ】

  • R00/01/02CPU ファームウェアバージョン"20"およびそれ以前
  • R04/08/16/32/120(EN)CPU ファームウェアバージョン"52"およびそれ以前
  • R08/16/32/120SFCPU ファームウェアバージョン"22"およびそれ以前
  • R08/16/32/120PCPU すべてのバージョン
  • R08/16/32/120PSFCPU すべてのバージョン
  • R16/32/64MTCPU すべてのバージョン

【Qシリーズ】

  • Q03UDECPUおよびQ04/06/10/13/20/26/50/100UDEHCPU シリアルNo.の上5桁が"22081"およびそれ以前
  • Q03/04/06/13/26UDVCPU シリアルNo.の上5桁が"22031"およびそれ以前
  • Q04/06/13/26UDPVCPU シリアルNo.の上5桁が"22031"およびそれ以前
  • Q172/173DCPU-S1 すべてのバージョン
  • Q172/173DSCPU すべてのバージョン
  • Q170MCPU すべてのバージョン
  • Q170MSCPU(-S1) すべてのバージョン

【Lシリーズ】

  • L02/06/26CPU(-P)およびL26CPU-(P)BT すべてのバージョン

影響を受けるシステムでは、遠隔の第三者によって特別に細工されたパケットを受信した場合に、Ethernet通信がサービス運用妨害 (DoS) 状態に陥らされる危険性がある。

一部の脆弱性は深刻度が「緊急」に分類されており注意が必要。JPCERT/CCは必要に応じてアップデートを適用するか、アップデートできない場合は製造元が提示する軽減策を実施することを推奨している。