三菱电机 PLC 曝出多个严重安全漏洞

发布时间：2025-11-05 05:33:47 来源：创站工坊 作者：IT科技

美国网络安全和基础设施安全局 (CISA) 在上周发布了一份工业控制系统 (ICS) 咨询，菱电漏洞对三菱电机 GX Works3 工程软件存在的曝出多个漏洞发出了安全警告。

GX Works3是严重一种用于 ICS 环境的工程软件，能够从控制器上传和下载程序、安全排除软硬件故障以及执行相应的菱电漏洞操作维护。由于功能广泛，曝出使得该软件平台成为攻击者的严重一个强有力的”集火“目标，攻击者希望破坏此类系统以控制受管理的安全 PLC。

在CISA揭露的菱电漏洞10个缺陷中，有 3 个涉及敏感数据的免费信息发布网曝出明文存储，4 个涉及使用硬编码加密密钥，严重2 个涉及使用硬编码密码，安全1 个涉及凭证保护不足。菱电漏洞最严重的曝出漏洞CVE-2022-25164和CVE-2022-29830的 CVSS 评分高达 9.1，可在无需任何权限的严重情况下被滥用，以获取对 CPU 模块的访问权限并获取有关项目文件的信息。

三菱表示，工程软件是工业控制器安全链中的一个关键组成部分，如果其中出现任何漏洞，网站模板对手可能会滥用它们最终危及托管设备，从而危及受监管的工业过程。

CISA也提到了一个CVSS 评分为8.6的MELSEC iQ-R 系列中的拒绝服务 (DoS) 漏洞信息，并指出由于缺乏适当的输入验证，成功利用此漏洞可能允许未经身份验证的远程攻击者通过发送特制数据包，在目标产品上造成拒绝服务。

三菱已经宣布相关补丁将在不久之后发布，在此之前建议应用以下缓解措施：

相关文章