三菱变频器Mitsubishi FR Configurator2软件多个缝隙安全公告
颁布功夫 2019-07-25缝隙编号和级别
CVE编号：暂无，，，，，，，危险级别：中危，，，，，，，CVSS分值：厂商自评：5.5，，，，，，，官方未评定
CVE编号：暂无，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：8.2，，，，，，，官方未评定
影响版本
受影响的版本
缝隙概述
Mitsubishi FR Configurator2是日本三菱电机（Mitsubishi Electric）公司的一款变频器驱动配置利用法式。。。。 。。。。
Mitsubishi FR Configurator2存在如下三个缝隙：
XML表部实体（XXE）注入缝隙
该利用法式使用DTD参数实体技术遭逢XML表部实体（XXE）缝隙的影响，，，，，，，该技术允许通过带表（OOB）攻击在受影响的节点上公开和检索肆意数据。。。。 。。。。当输入传递给解析XML项目和/或模板文件（.frc2）时，，，，，，，不会算帐XML解析器。。。。 。。。。此攻击还可用于执行肆意代码（在某些情况下，，，，，，，具体取决于平台）。。。。 。。。。
回绝服务缝隙
该利用法式遭逢回绝服务（DoS）缝隙，，，，，，，导致AppHangB1事务必要沉新启动利用法式。。。。 。。。。 当攻击者向受害者提供恶意项目文件（.frc2）时，，，，，，，能够触发缝隙。。。。 。。。。一旦受害者打开恶意项目，，，，，，，就会出现100％的CPU耗尽�。。。 。。。。�，，，，导致软件挂起（没有响应），，，，，，，直到强行沉启。。。。 。。。。
本地权限提升缝隙
未经身份验证的用户（蕴含海东帐户）能够利用法式的二进造读取�。。。 。。。。�，，，，写入和执行权限中的弱点来提权。。。。 。。。。合法用户启动FR Configurator2软件时会触发此缝隙，，，，，，，执行恶意二进造文件。。。。 。。。。
缝隙验证
暂无POC/EXP。。。。 。。。。
建复建议
目前厂商已颁布升级补丁以建复缝隙，，，，，，，请更新至version 1.17T：https://www.mitsubishielectric.com/en/index.html。。。。 。。。。
参考链接
京公网安备11010802024551号