Mitsubishi Electric smartRTU和Inea ME-RTU信赖治理问题缝隙安全公告

颁布功夫 2019-11-12

缝隙编号和级别


CVE编号：CVE-2019-14926 ，危险级别：严沉 ，CVSS分值：9.8


影响版本


Mitsubishi Electric Mitsubishi Electric smartRTU <= 2.02

Mitsubishi Electric INEA ME-RTU <= 3.0


缝隙概述


Mitsubishi Electric smartRTU是日本Mitsubishi Electric公司的一款智能远程终端单元（RTU）。Inea ME-RTU是斯洛文尼亚Inea公司的一款智能通讯网关产品。


Mitsubishi Electric smartRTU 2.02及之前版本和INEA ME-RTU 3.0及之前版本中存在安全缝隙 ，该缝隙源于设备在/etc/ssh/ssh_host_rsa_key、/etc/ssh/ssh_host_ecdsa_key和/etc/ssh/ssh_host_dsa_key文件中的私钥值能够通过厂商网站进行接见。攻击者可利用该缝隙获取未授权的接见权限或泄露加密信息。


缝隙验证


暂无POC/EXP。


建复建议


厂商尚未提供缝隙建复规划 ，请关注厂商主页更新：https://www.mitsubishielectric.com。


参考链接


https://www.mogozobo.com/