CVE-2021-20610highCWE-130

CVE-2021-20610: fallo de gravedad alta en Mitsubishi Electric Corporation MELSEC iQ-R…

Publicada el 01 dic 2021 · Actualizada el 03 ago 2024

Seguir esta CVE + Monitorear MELSEC-Q Series Q03UDVCPU + Monitorear MELSEC-Q Series Q04UDPVCPU

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 3.3%

En resumen

Un defecto en controladores lógicos programables (PLCs) de Mitsubishi Electric permite que un atacante envíe paquetes maliciosos que bloqueen el sistema, requiriendo reinicio manual. Afecta equipos de control industrial usados en fábricas e infraestructuras.

Detalle técnico

La vulnerabilidad surge del manejo inadecuado de parámetros de longitud en el procesamiento de paquetes de red en varios modelos de PLCs MELSEC y MELIPC. Un atacante remoto no autenticado puede explotarla enviando paquetes especialmente diseñados para causar denegación de servicio; la recuperación requiere reinicio del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

Improper Handling of Length Parameter Inconsistency vulnerability in Mitsubishi Electric MELSEC iQ-R Series R00/01/02CPU, MELSEC iQ-R Series R04/08/16/32/120(EN)CPU, MELSEC iQ-R Series R08/16/32/120SFCPU, MELSEC iQ-R Series R08/16/32/120PCPU, MELSEC iQ-R Series R08/16/32/120PSFCPU, MELSEC iQ-R Series R16/32/64MTCPU, MELSEC iQ-R Series R12CCPU-V, MELSEC Q Series Q03UDECPU, MELSEC Q Series Q04/06/10/13/20/26/50/100UDEHCPU, MELSEC Q Series Q03/04/06/13/26UDVCPU, MELSEC Q Series Q04/06/13/26UDPVCPU, MELSEC Q Series Q12DCCPU-V, MELSEC Q Series Q24DHCCPU-V(G), MELSEC Q Series Q24/26DHCCPU-LS, MELSEC Q Series MR-MQ100, MELSEC Q Series Q172/173DCPU-S1, MELSEC Q Series Q172/173DSCPU, MELSEC Q Series Q170MCPU, MELSEC Q Series Q170MSCPU(-S1), MELSEC L Series L02/06/26CPU(-P), MELSEC L Series L26CPU-(P)BT and MELIPC Series MI5122-VW allows a remote unauthenticated attacker to cause a denial-of-service (DoS) condition by sending specially crafted packets. System reset is required for recovery.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Productos afectados

CVEs relacionadas — Mitsubishi Electric Corporation MELSEC iQ-R…

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-1424CRITICALDenial-of-Service and Remote Code Execution Vulnerability in MELSEC Series CPU moduleEPSS 3.4%CVE-2021-20609HIGHCVE-2021-20609EPSS 3.3%CVE-2021-20611HIGHCVE-2021-20611EPSS 3.2%CVE-2022-33324HIGHDenial-of-Service Vulnerability in Ethernet port of MELSEC iQ-R, iQ-L Series and MELIPC SeriesEPSS 1.8%CVE-2023-4625MEDIUMDenial-of-Service（DoS） Vulnerability in Web server function on MELSEC Series CPU moduleEPSS 1.3%CVE-2022-40267MEDIUMAuthentication Bypass Vulnerability in Web Server Function on MELSEC SeriesEPSS 1.2%

Referencias

https://jvn.jp/vu/JVNVU94434051/index.html https://us-cert.cisa.gov/ics/advisories/icsa-21-334-02 https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2021-019_en.pdf