BDU:2022-05087

Опубликовано: 11 авг. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции резервного копирования исходных файлов проекта в целевой системе программного средства программирования ПЛК (программируемых логических контроллеров) EcoStruxure Control Expert связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании

Вендор

B&R Industrial Automation

Наименование ПО

Automation Studio 4

Версия ПО

- (Automation Studio 4)

Тип ПО

Программное средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- ограничение паролем функции "Резервное копирование исходных файлов проекта в целевой системе";

- запрет на запуск Automation Studio с повышенными привилегиями;

- проверка целостность файлов проекта B&R Automation Studio (например, с помощью цифровой подписи);

- использование контроля учетных записей пользователей Windows (UAC);

- использование протокола Automation Network Service Link (ANSL) и включение проверки подлинности на ПЛК;

- использование средств межсетевого экранирования;

- ограничение подключения ПЛК к сетям общего пользования (Интернет);

- сегментирование сети с целью ограничения доступа к оборудованию из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 72%

0.00715

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-22289

CVSS3: 8.3

nvd

больше 3 лет назад

Improper Input Validation vulnerability in the project upload mechanism in B&R Automation Studio version >=4.0 may allow an unauthenticated network attacker to execute code.

GHSA-pcc3-px7r-r8pf