三菱电机PLC暴露多个严重安全漏洞漏洞发布安全警告。GXWorks3是一款用于ICS环境的工程软件，可以从控制器上传和下载程序，对软硬件进行故障排除，并进行相应的操作和维护。功能的广度使软件平台成为攻击者的强大“焦点”目标，攻击者希望破坏此类系统以控制托管PLC。在CISA发现的10个漏洞中，3个涉及敏感数据的明文存储，4个涉及使用硬编码加密密钥，2个涉及使用硬编码密码，1个涉及凭证保护不足。最严重的漏洞CVE-2022-25164和CVE-2022-29830的CVSS评分高达9.1，可以在没有任何权限的情况下被滥用，以获取对CPU模块的访问权限并获取有关项目文件的信息。三菱表示，工程软件是工业控制器安全链中的关键组成部分，如果存在任何漏洞，对手可能会滥用它们并最终破坏托管设备，从而破坏受监管的工业过程。CISA还提到了MELSECiQ-R系列中的拒绝服务(DoS)漏洞，其CVSS得分为8.6，并指出由于缺乏适当的输入验证，成功利用此漏洞可能允许未经身份验证的远程攻击者发送A导致目标产品拒绝服务的特制数据包。缓解措施Mitsubishi已宣布将在不久的将来发布补丁，在此之前，建议采取以下缓解措施：尽可能限制不可信方对SecureCPU项目文件的访问；充分保护传输中和静态的SecureCPU项目文件（例如通过加密）；更改安全CPU模块上设置的任何弱密码；切勿重复使用相同的凭据打开安全CPU项目文件和访问安全CPU模块。
