三菱电机QJ71E71-100 资源治理谬误缝隙安全公告

颁布功夫 2019-05-27

缝隙编号和级别


CVE编号：CVE-2019-10977，危险级别：高危，CVSS分值：厂商自评7.5，官方未评定


影响版本


Mitsubishi Electric QJ71E71-100 20121

Mitsubishi Electric QJ71E71-100 18072


缝隙概述


Mitsubishi Electric MELSEC-Q series Ethernet module QJ71E71-100是日本三菱电机（Mitsubishi Electric）公司的一款以太网�？�。


Mitsubishi Electric QJ71E71-100 20121版本和18072版本中存在资源治理谬误缝隙。该缝隙源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的治理不当。攻击者能够针对FTP服务发送精心设计的TCP数据包，迫使指标设备进入谬误模式并导致回绝服务情况。成功利用此缝隙可能会导致设备无响应，必要对PLC（可编程逻辑节造器）进行物理复位。


缝隙验证


暂无POC、EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，详情请关注厂商主页：

https://www.mitsubishielectric.com/


参考链接


http://www.securityfocus.com/bid/108419
https://ics-cert.us-cert.gov/advisories/ICSA-19-141-02