Ver CSAF
1. Resumen ejecutivo
CVSS V3 5.3
ATENCIÓN: Explotable remotamente/complejidad de ataque bajo
Proveedor: Mitsubishi Electric Corporation
Equipo: Módulo CPU de la serie Melsec IQ-F
Vulnerabilidad: Manejo inadecuado de la inconsistencia de parámetros de longitud
2. Evaluación de riesgos
La explotación exitosa de esta vulnerabilidad podría dar lugar a que un atacante remoto pueda retrasar el procesamiento de la función del servidor web y evitar que los usuarios legítimos utilicen la función del servidor web enviando una solicitud HTTP especialmente elaborada.
3. Detalles técnicos
3.1 Productos afectados
Las siguientes versiones del módulo CPU de la serie MelSec IQ-F se ven afectadas:
Melsec IQ-F Series CPU Módulo FX5U-32MT/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-32MT/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-32MT/ESS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-32MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-32MR/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-32MR/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MT/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MT/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MT/ESS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MR/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-64MR/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MT/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MT/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MT/ESS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MR/ES: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5U-80MR/DS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-32MT/D: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-32MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-64MT/D: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-64MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-96MT/D: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-96MT/DSS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-32MT/DS-TS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-32MT/DSS-TS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UC-32MR/DS-TS: Versiones 1.060 y más tarde
Melsec IQ-F Series CPU Módulo FX5UJ-24MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MT/DSS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MT/DSS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MT/DSS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MT/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-24MR/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MT/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-40MR/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MT/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5UJ-60MR/ES-A: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MT/DSS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-30MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MT/DSS: todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-40MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MT/ES: todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MT/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MT/DSS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MR/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-60MR/DS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-80MT/ES: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-80MT/ESS: Todas las versiones
Melsec IQ-F Series CPU Módulo FX5S-80MR/ES: Todas las versiones
3.2 Descripción general de vulnerabilidad
3.2.1 Manejo inadecuado del parámetro de longitud inconsistencia CWE-130
Existe una vulnerabilidad de denegación de servicio (DOS) debido al manejo inadecuado de la inconsistencia de los parámetros de longitud en la función del servidor web del módulo CPU de la serie MELSEC IQ-F.
CVE-2025-5514 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS V3 de 5.3; La cadena de vector CVSS es (AV: N/AC: L/PR: N/UI: N/S: U/C: N/I: N/A: L).
3.3 Antecedentes
Sectores de infraestructura crítica: Fabricación crítica
Países/áreas desplegadas: Mundial
Ubicación de la sede de la empresa: Japón
3.4 investigador
Thai Do, Minh Pham, Quan Le y Loc Nguyen de Opswat Unit515 informaron esta vulnerabilidad a Mitsubishi Electric Corporation. Mitsubishi Electric Corporation informó esta vulnerabilidad a CISA.
4. Mitigaciones
Mitsubishi Electric Corporation aconseja que no hay planes para lanzar una versión fija. Mitsubishi Electric recomienda que los usuarios tomen las siguientes medidas de mitigación para minimizar el riesgo de explotar esta vulnerabilidad:
Use un firewall o una red privada virtual (VPN), etc. para evitar el acceso no autorizado cuando se requiere acceso a Internet.
Use dentro de una LAN y bloquee el acceso desde redes y hosts no confiables a través de firewalls.
Use la función de filtro IP para bloquear el acceso desde hosts no confiables. Para obtener detalles sobre la función de filtro IP, consulte el manual Para cada producto: «Función de filtro IP 13.1» en el manual del usuario (comunicación) MelSec IQ-F FX5.
Restringir el acceso físico a los productos afectados y a la LAN conectada por ellos.
Mitsubishi Electric Corporation recomienda que los usuarios se comuniquen con su local Mitsubishi Electric representante con preguntas.
Para obtener más información, consulte Mitsubishi Electric’s aviso de seguridad.
CISA recomienda que los usuarios tomen medidas defensivas para minimizar el riesgo de explotación de esta vulnerabilidad, como:
Minimizar la exposición de la red para todos los dispositivos y/o sistemas del sistema de control, asegurando que sean No es accesible desde Internet.
Localice las redes de sistemas de control y los dispositivos remotos detrás de los firewalls y aislarlos de las redes comerciales.
Cuando se requiere acceso remoto, use métodos más seguros, como las redes privadas virtuales (VPN), reconocer las VPN puede tener vulnerabilidades y debe actualizarse a la versión más actualizada disponible. También reconocer que VPN es tan segura como los dispositivos conectados.
CISA recuerda a las organizaciones que realicen un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas.
CISA también proporciona una sección para Control Sistemas Seguridad Prácticas recomendadas en la página web de ICS en cisa.gov/ics. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para leer y descargar, incluida Mejora de los sistemas de control industrial Ciberseguridad con estrategias de defensa en profundidad.
CISA alienta a las organizaciones a implementar estrategias recomendadas de ciberseguridad para Defensa proactiva de los activos del ICS.
La orientación de mitigación adicional y las prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov/ics En el documento de información técnica, ICS-TIP-12-146-01B-Detección de intrusión cibernética dirigida a estrategias.
Las organizaciones que observan sospecha de actividad maliciosa deben seguir procedimientos internos establecidos e informes de informes a CISA para el seguimiento y la correlación contra otros incidentes.
No se ha informado de la explotación pública conocida específicamente a esta vulnerabilidad a CISA en este momento.
5. Historial de actualización
21 de agosto de 2025: publicación inicial