Resumen ejecutivo
Mitsubishi Electric ha publicado 4 vulnerabilidades: 3 de severidad crítica y una de severidad alta que, en caso de ser explotadas, podrían permitir la ejecución de código arbitrario, eludir la autenticación o realizar operaciones no autorizadas. Su explotación podría provocar la divulgación, modificación, destrucción o eliminación de información y una denegación de servicio (DoS).
Recursos afectados
- GENESIS, versiones 11.03 y anteriores.
- GENESIS64, versiones comprendidas entre la 10.97 y la 10.97.2 para CVE-2023-4863, y versiones 10.97.3 y anteriores para el resto de vulnerabilidades.
- ICONICS Suite, versiones comprendidas entre la 10.97 y la 10.97.2 para CVE-2023-4863, y versiones 10.97.3 y anteriores para el resto de vulnerabilidades.
- Hyper Historian, AnalytiX y MobileHMI, versiones 10.97.3 y anteriores.
- IoTWorX, versiones 10.97.3 y anteriores.
- MC Works64, todas las versiones.
- GENESIS32 y BizViz, todas las versiones.
Análisis técnico
- CVE-2023-4863: vulnerabilidad de escritura fuera de límites en la biblioteca libwebp utilizada por GENESIS64 e ICONICS Suite. Un atacante con acceso local podría importar un archivo especialmente manipulado y provocar un desbordamiento de búfer para ejecutar código arbitrario.
- CVE-2026-16436: vulnerabilidad en el mecanismo de recuperación de contraseñas. La respuesta utilizada por la función de desafío de seguridad para desbloquear el sistema es fija y común para todos los usuarios. Un atacante remoto que obtenga dicha respuesta podría eludir la autenticación y desbloquear el sistema.
- CVE-2026-16437: vulnerabilidad en el mecanismo de recuperación de contraseñas. Un atacante con acceso local y privilegios de administrador podría modificar el archivo que almacena la respuesta del desafío de seguridad y desbloquear el sistema.
- CVE-2026-16438: vulnerabilidad de asignación incorrecta de privilegios. Los instaladores conceden permisos DCOM innecesarios a las cuentas administrativas de los productos afectados, lo que podría permitir iniciar y manipular objetos DCOM, local o remotamente, sin la elevación de privilegios requerida.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2023-4863 | Crítica | No | MITSUBISHI ELECTRIC |
| CVE-2026-16436 | Crítica | No | MITSUBISHI ELECTRIC |
| CVE-2026-16438 | Crítica | No | MITSUBISHI ELECTRIC |
| CVE-2026-16437 | Alta | No | MITSUBISHI ELECTRIC |
Nota: El valor de explotación de cada vulnerabilidad corresponde al momento de publicación de este aviso. Dicho valor puede haber cambiado en el trascurso del tiempo.
Mitigación / Solución
Actualizar los productos afectados a las siguientes versiones:
- GENESIS: versión 11.04 o posterior.
- GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX y MobileHMI: ICONICS Suite 10.98 o posterior.
- IoTWorX: versión 10.98 o posterior.
CVE-2023-4863 está corregida en ICONICS Suite 10.97.3 y posteriores.
No está previsto publicar actualizaciones para MC Works64, GENESIS32 y BizViz. Mitsubishi Electric recomienda aplicar las medidas de mitigación indicadas en el boletín o migrar a GENESIS64 o GENESIS.
Entre las medidas recomendadas se encuentran restringir el acceso físico y lógico a los equipos, bloquear las conexiones procedentes de redes no confiables, utilizar cortafuegos o VPN y permitir el inicio de sesión únicamente a administradores autorizados.