BDU:2022-01050

Опубликовано: 11 янв. 2022

Источник: fstec

CVSS3: 8.8

CVSS2: 8.3

EPSS Низкий

Описание

Уязвимость реализации протокола GOOSE (Generic Object-Oriented Substation Event) микропрограммного обеспечения устройств релейной защиты и управления Schneider Electric Easergy P3 связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании путем отправки специально созданных пакетов

Вендор

Schneider Electric

Наименование ПО

Easergy P3

Версия ПО

до 30.205 (Easergy P3)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя (обновление до актуальной версии):

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-04

Компенсирующие меры: отключение сервиса GOOSE или использование ее в доверенной локальной сети

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-22725
CVE

EPSS

Процентиль: 22%

0.00071

Низкий

8.8 High

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2022-22725

CVSS3: 8.8

nvd

около 4 лет назад

A CWE-120: Buffer Copy without Checking Size of Input vulnerability exists that could lead to a buffer overflow causing program crashes and arbitrary code execution when specially crafted packets are sent to the device over the network. Protection functions and tripping function via GOOSE can be impacted. Affected Product: Easergy P3 (All versions prior to V30.205)

GHSA-6qqh-55g3-fxq9

github

почти 4 года назад