BDU:2019-00124

Опубликовано: 23 нояб. 2018

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения программируемых логических контролеров Schneider Electric Modicon связана с некорректной нейтрализацией символов CR и LF перед внесением данных в исходящие HTTP-заголовки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании устройства

Вендор

Schneider Electric

Наименование ПО

Modicon M340

Modicon Premium

Modicon Quantum

Modicon BMXNOR0200

Версия ПО

- (Modicon M340)

- (Modicon Premium)

- (Modicon Quantum)

- (Modicon BMXNOR0200)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Компенсирующие меры:

Настройка списков контроля доступа для ограничения доступа к WEB-серверам авторизованными IP-адресами.

Защита доступа к продуктам Modicon с помощью сетевых, промышленных и прикладных брандмауэров.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-7830
CVE

EPSS

Процентиль: 85%

0.02668

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2018-7830

CVSS3: 7.5

nvd

около 7 лет назад

Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting') vulnerability exists in the embedded web servers in all Modicon M340, Premium, Quantum PLCs and BMXNOR0200 where a denial of service can occur for ~1 minute by sending a specially crafted HTTP request.

GHSA-334h-jmqc-fx27