В продуктах Mitsubishi Electric для автоматизированных систем управления технологическими процессами (АСУ ТП) есть несколько уязвимостей. Переполнение буфера позволяет выполнить произвольный код при импорте подготовленного файла. Ошибки механизма восстановления пароля позволяют разблокировать систему, а некорректные права DCOM (механизма удалённого вызова объектов Windows) позволяют запускать объекты с правами администратора продукта. При этом затронуты GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 и BizViz.
libwebp, восстановление пароля и права DCOM
Переполнение буфера связано с libwebp - библиотекой для работы с изображениями WebP. Эта уязвимость относится к записи за границы буфера. Затронуты GENESIS64 и ICONICS Suite версий 10.97-10.97.2. Атака идёт локально: нужна учётная запись, а администратор должен импортировать специально подготовленный файл. В результате возникает переполнение в динамической памяти и возможен запуск произвольного кода. Уязвимость имеет идентификатор CVE-2023-4863.
Уязвимости восстановления пароля затрагивают GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 и BizViz. Одна позволяет удалённо разблокировать систему: ответ на запрос восстановления одинаков для всех пользователей и не меняется. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется.
Другая требует локального доступа и прав администратора, позволяющих изменить файл управления, где хранится ответ на запрос. Файл защищён средствами Windows, однако администратор может его читать и изменять. В обоих случаях возможны раскрытие, изменение или удаление внутренней информации и отказ в обслуживании.
Уязвимость назначения прав DCOM связана с установщиками продуктов. Они выдают учётной записи администратора продукта стандартные разрешения DCOM. Поэтому вход под этой учётной записью позволяет запускать и обслуживать объекты DCOM локально или удалённо. Атака идёт по сети, нужна учётная запись администратора, участие пользователя не требуется. Она имеет идентификатор CVE-2026-16438. Оценка по шкале CVSS (общая система оценки уязвимостей) 3.1 - 9.1 из 10, критический уровень.
Mitsubishi Electric выпускает исправления. Для уязвимости переполнения буфера в GENESIS64 и ICONICS Suite исправление выходит в версии 10.97.3. Для уязвимостей восстановления пароля и прав DCOM в GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX и MobileHMI нужна версия 10.98 или новее. GENESIS получает исправление в версии 11.04, IoTWorX - в версии 10.98. При этом версия 10.97.3 закрывает только переполнение буфера. GENESIS64, Hyper Historian, AnalytiX и MobileHMI входят в установку ICONICS Suite.
Для MC Works64, GENESIS32 и BizViz исправление не планируется. Вендор советует заменить MC Works64 на GENESIS64 или GENESIS, а GENESIS32 и BizViz - на GENESIS64 или GENESIS. До замены остаются общие обходные меры.
Если обновление невозможно, вендор рекомендует разрешить вход только администратору. Также нужно заблокировать удалённый вход из недоверенных сетей и от пользователей без прав администратора. Для изоляции подойдут межсетевой экран и виртуальная частная сеть (VPN), а физический доступ к компьютерам нужно ограничить.
Для уязвимости восстановления пароля предлагается удалить файл управления и создать на его месте пустой файл. Затем нужно запретить запись и удаление всем, кроме отдельной учётной записи администратора, не совпадающей с учётной записью администратора GENESIS. Также вендор советует не открывать ссылки и вложения из недоверенных писем и установить антивирус.
CISA дополнительно рекомендует ограничить сетевой доступ к системам АСУ ТП, разместить их за межсетевым экраном и использовать VPN для удалённого доступа. Об эксплуатации этих уязвимостей в реальных атаках уведомление не сообщает. Публикация технических деталей не означает, что атаки уже идут.
Уязвимости затрагивают продукты промышленной автоматизации. Обновление до 10.98 или 11.04 и ограничение входа администратором снижают риск. На сайте CISA опубликовано уведомление Mitsubishi Electric 2026-006.
Ссылки
