BDU:2022-02430

Опубликовано: 21 окт. 2021

Источник: fstec

CVSS3: 8.6

CVSS2: 7.2

EPSS Средний

Описание

Уязвимость программного обеспечения проектирования и настройки контроллеров Connected Components Workbench (CCW), рабочей станции автоматизированных систем безопасности Safety Instrumented Systems Workstation (SISW) и среды разработки приложений для программируемых логических контроллеров ISaGRAF Workbench компании Rockwell Automation связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного файла

Вендор

Rockwell Automation Inc.

Наименование ПО

Connected Components Workbench

ISaGRAF Workbench

Safety Instrumented Systems Workstation

Версия ПО

до 13.00.00 включительно (Connected Components Workbench)

от 6.0 до 6.6.9 (ISaGRAF Workbench)

до 1.2 включительно (Safety Instrumented Systems Workstation)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Программное средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.cisa.gov/uscert/ics/advisories/icsa-22-095-01

2. Организационные меры:

- запуск Connected Components Workbench необходимо осуществлять от имени непривилегированного пользователя;

- запрет открытия файлов (архивов и любых форматов-контейнеров), полученных из недоверенных источников

- использование программного средства Microsoft AppLocker или другого подобного приложения.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 98%

0.51482

Средний

8.6 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVE-2022-1118

CVSS3: 8.6

nvd

больше 3 лет назад

Connected Components Workbench (v13.00.00 and prior), ISaGRAF Workbench (v6.0 though v6.6.9), and Safety Instrumented System Workstation (v1.2 and prior (for Trusted Controllers)) do not limit the objects that can be deserialized. This allows attackers to craft a malicious serialized object that, if opened by a local user in Connected Components Workbench, may result in arbitrary code execution. This vulnerability requires user interaction to be successfully exploited

GHSA-cq53-3mvc-ghx7

CVSS3: 7.8

github