三菱PLC曝出嚴重漏洞，面臨黑客遠端攻擊
阿新 • • 發佈：2021-08-10
三菱安全可程式設計邏輯控制器 （PLC) 中已披露多個未修補的安全漏洞，攻擊者可以利用這些漏洞通過暴力攻擊獲取模組中註冊的合法使用者名稱，未經授權登入 CPU 模組，甚至導致拒絕服務 (DoS） 條件。
安全漏洞涉及MELSEC 通訊協議中身份驗證機制的實現，該協議用於通過向 CPU 模組讀取和寫入資料來與目標裝置進行通訊和交換資料。
下面列出了缺陷的快速摘要：
使用者名稱暴力破解（CVE-2021-20594，CVSS 評分：5·9） - 身份驗證期間使用的使用者名稱可有效暴力破解
Anti-password Brute-force 功能導致過度限制帳戶鎖定機制（CVE-2021-20598，CVSS 評分：3·7） - 阻止暴力攻擊的實施不僅阻止潛在攻擊者使用單個 IP 地址，而且還禁止來自任何 IP 地址的任何使用者在特定時間範圍內登入，有效地將合法使用者鎖定。