BDU:2022-04373

Опубликовано: 12 апр. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость исполняемого файла IGSSdataServer.exe модуля Data Server интерактивной графической SCADA-системы Interactive Graphical SCADA System (IGSS) связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, путем отправки специально сформированного сообщения

Вендор

Schneider Electric

Наименование ПО

Interactive Graphical SCADA System

Версия ПО

до 15.0.0.22073 включительно (Interactive Graphical SCADA System)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование физического либо логического разграничения доступа к вычислительной сети с IGSS системой путем разграничения межсетевыми экранами с выделением отдельной подсети для SCADA-системы;

- обеспечение защиты канала связи физическими либо криптографическими методами;

- использование средств обнаружения вторжений.

Использование рекомендаций производителя:

https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-102-01_IGSS_Security_Notification_V2.0.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-102-01_IGSS_Security_Notification_V2.0.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-2329
CVE

EPSS

Процентиль: 84%

0.02174

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-2329

CVSS3: 9.8

nvd

больше 2 лет назад

A CWE-190: Integer Overflow or Wraparound vulnerability exists that could cause heap-based buffer overflow, leading to denial of service and potentially remote code execution when an attacker sends multiple specially crafted messages. Affected Products: IGSS Data Server - IGSSdataServer.exe (Versions prior to V15.0.0.22073)

GHSA-2384-wfr6-9j3j

CVSS3: 9.8

github

больше 2 лет назад

EPSS

Процентиль: 84%

0.02174

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2