BDU:2022-04299

Опубликовано: 16 июн. 2022

Источник: fstec

CVSS3: 9.4

CVSS2: 9.7

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения SEPCOS Single Package реле управления и защиты Secheron SEPCOS связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, изменить учетные данные и разрешения пользователя без аутентификации

Вендор

Secheron

Наименование ПО

SEPCOS Single Package

Версия ПО

до 1.23.22 (SEPCOS Single Package)

до 1.24.8 (SEPCOS Single Package)

до 1.25.3 (SEPCOS Single Package)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.cisa.gov/uscert/ics/advisories/icsa-22-174-03

Компенсирующие меры:

- сегментирование сети с целью ограничения доступа к ПЛК;

- ограничение удаленного доступа и закрытие портов 80 и 443 на уровне коммутатора;

- использование только разрешенных устройств для подключения к ПЛК;

- проверка журналов устройства во время периодического обслуживания на наличие несанкционированных изменений или доступа;

- ограничение доступа к оборудованию из общедоступных сетей (Интернет);

- использование средств межсетевого экранирования;

- использование VPN для организации удаленного доступа.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 42%

0.00204

Низкий

9.4 Critical

CVSS3

9.7 Critical

CVSS2

Связанные уязвимости

CVE-2022-2105

CVSS3: 9.4

nvd

больше 3 лет назад

Client-side JavaScript controls may be bypassed to change user credentials and permissions without authentication, including a “root” user level meant only for the vendor. Web server root level access allows for changing of safety critical parameters.

GHSA-fjjx-q8wj-9p75

CVSS3: 9.1

github