Описание
Уязвимость страницы конфигурации scada-сервера Elcomplus SmartPPT связана с непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрить произвольный JavaScript код в критические параметры на сервере с помощью специально созданной ссылки
Вендор
Elcomplus
Наименование ПО
SmartPTT SCADA Server
Версия ПО
до 2.3.4 (SmartPTT SCADA Server)
Тип ПО
Программное средство АСУ ТП
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
1. Компенсирующие меры:
- запрет или ограничение доступа (с использованием межсетевого экрана) к программному средству из сети Интернет;
- сегментирование сети с целью изоляции scada-сервера от других сетей.
2. Использование рекомендаций производителя:
https://awesec.com/advisories/AWE-2022-044.html
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
- ICSA
EPSS
Процентиль: 41%
0.00192
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9
nvd
почти 4 года назад
Elcomplus SmartPTT is vulnerable when an attacker injects JavaScript code into a specific parameter that can executed upon accessing the dashboard or the main page.
CVSS3: 6.1
github
почти 4 года назад
Elcomplus SmartPTT is vulnerable when an attacker injects JavaScript code into a specific parameter that can executed upon accessing the dashboard or the main page.
EPSS
Процентиль: 41%
0.00192
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2