ช่องโหว่ด้านความปลอดภัยที่ยังไม่มีแพ็ตช์ออกมาหลายรายการถูกค้นพบในอุปกรณ์ควบคุมที่เขียนโปรแกรมได้หรือ PLC ด้านความปลอดภัยของมิตซูบิชิ ที่ทำให้แฮ็กเกอร์สามารถได้ข้อมูลบัญชีผู้ใช้บนอุปกรณ์ได้ด้วยการยิงสุ่มรหัส (Brute-Force)
รหัสที่ดูดได้ดังกล่าวสามารถใช้เข้าถึงโมดูลซีพียู รวมทั้งทำให้เกิดสภาวะ Denial-of-Service (DoS) ได้ ผู้ที่ออกมาเปิดเผยจุดอ่อนบนอุปกรณ์ครั้งนี้ได้แก่ Nozomi Networks ซึ่งระบุว่าเป็นปัญหาเกี่ยวกับกลไกการยืนยันตนผ่านโปรโตคอล MELSEC ที่ใช้สื่อสาร
โปรโตคอลนี้ถูกใช้แลกเปลี่ยนข้อมูลกับอุปกรณ์เป้าหมาย ทั้ง ทั้งการอ่านและเขียนข้อมูลกับโมดูลซีพียู ทั้งนี้ช่องโหว่บน PLC ที่ค้นพบได้แก่ ช่องโหว่ที่เปิดให้ยิงสุ่มเดาชื่อผู้ใช้ได้ (CVE-2021-20594, คะแนนความร้ายแรงแบบ CVSS อยู่ที่ 5.9)
รวมไปถึงช่องโหว่จากระบบปิดกั้นการโดนยิง Brute-Force ที่ลามไปถึงการปิดกั้นการสื่อสารจากที่อยู่ไอพีอื่นๆ ที่ถูกต้องด้วยเป็นการชั่วคราว (CVE-2021-20598, คะแนนความร้ายแรงแบบ CVSS อยู่ที่ 3.7) และช่องโหว่ที่ปล่อยข้อมูลซีเคร็ตที่ถอดจากรหัสผ่านรั่วออกมาได้ (CVE-2021-20597, คะแนนความร้ายแรงแบบ CVSS อยู่ที่ 7.4)
ที่มา : THN
