Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-04976

Опубликовано: 17 мар. 2022
Источник: fstec
CVSS3: 5.5
CVSS2: 4.9
EPSS Низкий

Описание

Уязвимость библиотеки DLL программного обеспечения проектирования и настройки контроллеров Connected Components Workbench (CCW), рабочей станции автоматизированных систем безопасности Safety Instrumented Systems Workstation (SISW) и среды разработки приложений для программируемых логических контроллеров ISaGRAF Workbench связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность защищаемой информации с помощью специально созданного вредоносного файла

Вендор

Rockwell Automation Inc.

Наименование ПО

Connected Components Workbench
ISaGRAF Workbench
Safety Instrumented Systems Workstation

Версия ПО

до 12.00.00 включительно (Connected Components Workbench)
до 6.6.10 (ISaGRAF Workbench)
до 1.1 включительно (Safety Instrumented Systems Workstation)

Тип ПО

ПО программно-аппаратного средства АСУ ТП
Программное средство АСУ ТП

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.cisa.gov/uscert/ics/advisories/icsa-22-088-01
Компенсирующие меры:
1) Следует запускать Connected Components Workbench от имени пользователя, а не от имени администратора, чтобы свести к минимуму воздействие вредоносного кода на систему;
2) Не следует открывать ненадежные файлы с помощью Connected Component Workbench, ISaGRAF, SISW;
3) Рекомендуется использовать Microsoft AppLocker или другое подобное программное обеспечение для управленеия доступом и контроля запукскаемых приложений и файлов;
4) Необходимо соблюдать принцип пользователя с наименьшими привилегиями и минимальным количеством необходимых прав.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%
0.09136
Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.5
nvd
почти 4 года назад

When opening a malicious solution file provided by an attacker, the application suffers from an XML external entity vulnerability due to an unsafe call within a dynamic link library file. An attacker could exploit this to pass data from local files to a remote web server, leading to a loss of confidentiality.

CVSS3: 5.5
github
почти 4 года назад

When opening a malicious solution file provided by an attacker, the application suffers from an XML external entity vulnerability due to an unsafe call within a dynamic link library file. An attacker could exploit this to pass data from local files to a remote web server, leading to a loss of confidentiality.

EPSS

Процентиль: 92%
0.09136
Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2