Логотип
Баннер в шапке 1
Баннер в шапке 2

Mitsubishi MELSEC System Q-серия Промышленные контроллеры

Продукт
Разработчики: Mitsubishi Electric
Отрасли: Нефтяная промышленность,  Химическая промышленность
Технологии: АСУ ТП

2024: Устранение пяти уязвимостей удаленного выполнения кода

Эксперт Positive Technologies Антон Дорфман выявил пять уязвимостей в процессорных модулях ПЛК серий MELSEC System Q и MELSEC System L. Это оборудование может применяться в химической промышленности, для производства полупроводников, автоматизации зданий и в других сферах. В России контроллеры MELSEC System Q используются, в частности, в нефтегазовой отрасли. Mitsubishi Electric входит в первую тройку на мировом рынке промышленных контроллеров и выпустила свыше 17 миллионов компактных ПЛК. Вендор был уведомлен об уязвимостях в рамках политики ответственного разглашения, предпринял меры по снижению угроз и запланировал выпуск обновления ПО. Об этом Positive Technologies сообщили 22 мая 2024 года.

«
Все пять уязвимостей относятся к наиболее опасному типу — удаленное выполнение кода (RCE). Дистанционно их проэксплуатировав, атакующий мог бы получить полный контроль над ПЛК Mitsubishi Electric и технологическим процессом, которыми они управляют. Злоумышленник имел бы возможность изменить код прошивки ПЛК или внедрить дополнительные функции для манипуляции загруженной в контроллер программой управления (проектом). Подобные атаки в случае успеха могли бы привести к сбоям в технологических процессах в химической, нефтегазовой и других сферах. Для эксплуатации обнаруженных уязвимостей злоумышленнику достаточно было иметь сетевой доступ к контроллеру, — отметил Антон Дорфман, главный исследователь безопасности прошивок контроллеров отдела анализа приложений Positive Technologies.
»

Уязвимости CVE-2024-0802, CVE-2024-0803, CVE-2024-1915, CVE-2024-1916 и CVE-2024-1917 (BDU:2024-02053, BDU:2024-02214, BDU:2024-02215, BDU:2024-02216, BDU:2024-02217) получили одинаковую оценку — 9,8 баллов по шкале CVSS 3.0, что означает критический уровень опасности.

Данные PT Expert Security Center показывают наличие в интернете на момент публикации IP-адресов нескольких сотен уязвимых контроллеров Mitsubishi Electric MELSEC System Q. Больше всего такого оборудования находится в Японии (56%), даже следуют США (6%), Китай (5,5%), Южная Корея (5,5%), Тайвань (5,5%), Канада (4,5%), Польша (4%), Великобритания (2%), Бразилия (1,5%), Германия (1,5%), Россия (1,5%), Австрия (1%), Нидерланды (1%), Таиланд (1%).«Группа Астра» разрослась до двух десятков компаний. Ключевые активы экосистемы 8.1 т

Доступность этих устройств для злоумышленников была связана с ошибками конфигурирования. Реальное количество уязвимых контроллеров могло быть больше.

Для снижения риска эксплуатации этих уязвимостей Mitsubishi Electric рекомендует использовать межсетевой экран и виртуальную частную сеть (VPN). Помимо этого, необходимо ограничить физический доступ к контроллерам, к рабочим станциям и сетевым устройствам, которые могут взаимодействовать с ПЛК.



Подрядчики-лидеры по количеству проектов

За всю историю
2021 год
2022 год
2023 год
Текущий год

  Круг НПФ (87)
  Бест (14)
  Модульные системы Торнадо (13)
  РТСофт (RTSoft) (7)
  ВидеоМатрикс (Videomatrix) (6)
  Другие (99)

  Круг НПФ (7)
  Siemens AG (Сименс АГ) (2)
  ВидеоМатрикс (Videomatrix) (2)
  AspenTech (1)
  Siemens Digital Industries Software (ранее Siemens PLM Software) (1)
  Другие (5)

  Круг НПФ (8)
  ВидеоМатрикс (Videomatrix) (1)
  ГектИС НПФ (1)
  Деснол Софт (1)
  Научно-технический центр единой энергетической системы (НТЦ ЕЭС) ранее НИИПТ (1)
  Другие (6)

  Круг НПФ (12)
  ОВЕН (OWEN) (2)
  CyberPhysics (СайберФизикс) (1)
  К2 Тех (1)
  Новософт развитие (1)
  Другие (3)

  Цифровые Платформы и Решения Умного Города (1)
  Круг НПФ (1)
  Другие (0)

Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров

За всю историю
2021 год
2022 год
2023 год
Текущий год

  Круг НПФ (9, 91)
  Бест (1, 16)
  Модульные системы Торнадо (4, 13)
  РТСофт (RTSoft) (6, 7)
  ВидеоМатрикс (Videomatrix) (3, 6)
  Другие (165, 75)

  Круг НПФ (3, 7)
  Siemens AG (Сименс АГ) (3, 2)
  ВидеоМатрикс (Videomatrix) (2, 2)
  МПС софт (1, 1)
  Rockwell Automation (1, 1)
  Другие (5, 5)

  Круг НПФ (3, 8)
  ДИАТЕХ (1, 1)
  ПНИПУ Пермский Национальный Исследовательский Политехнический Университет (1, 1)
  СО ЕЭС - Системный оператор Единой энергетической системы (1, 1)
  ВидеоМатрикс (Videomatrix) (1, 1)
  Другие (3, 3)

  Круг НПФ (4, 12)
  ОВЕН (OWEN) (1, 2)
  CyberPhysics (СайберФизикс) (1, 1)
  Новософт развитие (1, 1)
  РИР (Росатом Инфраструктурные решения) (1, 1)
  Другие (1, 1)

  Круг НПФ (3, 1)
  РИР (Росатом Инфраструктурные решения) (1, 1)
  Другие (0, 0)

Распределение систем по количеству проектов, не включая партнерские решения

За всю историю
2021 год
2022 год
2023 год
Текущий год

  ПТК КРУГ-2000 - 57
  SCADA КРУГ-2000 - 52
  DevLink-C1000 Промышленные контроллеры - 24
  1С:Предприятие 8. Энергетика. Управление распределительной сетевой компанией - 16
  ПТК Торнадо-N (прототип Национальной платформы промышленной автоматизации, НППА) - 12
  Другие 103

  SCADA КРУГ-2000 - 5
  ПТК КРУГ-2000 - 5
  DevLink-C1000 Промышленные контроллеры - 3
  Smart-SPRECON - 1
  Vmx Qualex: Track - 1
  Другие 10

  SCADA КРУГ-2000 - 6
  ПТК КРУГ-2000 - 5
  DevLink-C1000 Промышленные контроллеры - 4
  Vmx Qualex: Track - 1
  НТЦ ЕЭС и СО ЕЭС: Система мониторинга запасов устойчивости (СМЗУ) - 1
  Другие 4

  SCADA КРУГ-2000 - 10
  ПТК КРУГ-2000 - 10
  DevLink-C1000 Промышленные контроллеры - 2
  ОВЕН: КосМастер Блок для управления установками обратного осмоса - 2
  CyberStudio Платформа для предиктивной аналитики промышленного оборудования и оптимизации технологических процессов - 1
  Другие 4

  Круг: АСУ ТП турбоагрегата - 1
  Росатом Цифровое ресурсоснабжение - 1
  SCADA КРУГ-2000 - 1
  ПТК КРУГ-2000 - 1
  Другие 0