三菱製シーケンサ「MELSEC」のUDP/IP通信にリソース枯渇のおそれ

三菱電機の制御システム「MELSECシリーズ」においてリリースが枯渇し、サービス拒否に陥る脆弱性が含まれていることがわかった。

大量のデータを受信している間、UDP/IPにより通信を行う「ELSOFT交信ポート」においてリソースが枯渇する脆弱性「CVE-2020-5527」が明らかとなったもの。「同iQ-Rシリーズ」「同iQ-Fシリーズ」「同Qシリーズ」「同Lシリーズ」「同Fシリーズ」が影響を受ける。

同社は、シーケンス制御など、Ethernet通信以外の機能が脆弱性の影響を受けることはないとしている。

同脆弱性は、三菱電機が利用者へ周知するためにJPCERTコーディネーションセンターへ報告したもので、同センターが調整を実施。修正プログラムを提供する予定はなく、ファイアウォールなど利用して外部からのアクセスを制限したり、接続できるIPアドレスを制限するといった緩和策の実施を呼びかけている。

（Security NEXT - 2020/03/31 ）ツイート