JVNVU#97846038    
三菱電機製MELSEC-QシリーズCPUユニットにおけるサービス運用妨害（DoS）の脆弱性

三菱電機株式会社が提供するMELSEC-QシリーズCPUユニットには、ユーザ認証機能が有効になっている場合に、サービス運用妨害（DoS）の脆弱性が存在します。

• MELSEC-Qシリーズ
  • Q03/04/06/13/26UDVCPU
    • シリアルNo.の上5桁"24082"から"27081"まで
  • Q04/06/13/26UDPVCPU
    • シリアルNo.の上5桁"24082"から"27081"まで

詳しくは、開発者が提供する情報を確認してください。

三菱電機株式会社が提供するMELSEC-QシリーズCPUユニットには、ユーザ認証機能が有効になっている場合に、長さパラメーターの不整合の不適切な処理に起因するサービス運用妨害（DoS）の脆弱性（CWE-130、CVE-2025-8531）が存在します。

遠隔の攻撃者により細工された不正なパケットを当該製品が受信すると、整数アンダーフローが発生し、当該製品のEthernet通信および制御プログラム実行が停止する可能性があります。なお、復旧には当該製品のリセットが必要です。

後続機種に移行する
本脆弱性の影響は受けない後続機種のMELSEC iQ-Rシリーズへ移行することを検討してください。

ワークアラウンドを実施する
開発者が提供する軽減策および回避策を適用することで、本脆弱性の影響を軽減することが可能です。
軽減策および回避策の詳細は、開発者が提供する情報を確認してください。

ベンダ	リンク
三菱電機株式会社	MELSEC-QシリーズCPUユニットにおけるサービス拒否(DoS)の脆弱性

1. ICS Advisory | ICSA-25-266-02
   Mitsubishi Electric MELSEC-Q Series CPU Module

この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。