Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-05203

Опубликовано: 19 авг. 2022
Источник: fstec
CVSS3: 7.8
CVSS2: 7.2
EPSS Средний

Описание

Уязвимость SCADA-системы AVEVA Edge связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Вендор

AVEVA Software, LLC

Наименование ПО

AVEVA Edge

Версия ПО

до HF 2020.2.00.40 (AVEVA Edge)
до 2020 R2 SP1 (AVEVA Edge)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- применение списка контроля доступа ко всем каталогам/папкам, где пользователи могут сохранять/загружать файлы проектов;
- проверка целостность файлов проектов;
- запрет открытия и использования файлов, полученных из недоверенных источников (начиная с версии HF 2020.2.00.40, в AVEVA Edge перед открытием проекта необходимо подтвердить его подлинность).
Использование рекомендаций производителя:
https://www.aveva.com/content/dam/aveva/documents/support/cyber-security-updates/SecurityBulletin_AVEVA-2022-005.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 94%
0.14748
Средний

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVSS3: 7.8
nvd
почти 3 года назад

This vulnerability allows remote attackers to execute arbitrary code on affected installations of AVEVA Edge 2020 SP2 Patch 0(4201.2111.1802.0000). User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of APP files. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-17212.

CVSS3: 7.8
github
почти 3 года назад

This vulnerability allows remote attackers to execute arbitrary code on affected installations of AVEVA Edge 2020 SP2 Patch 0(4201.2111.1802.0000). User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of APP files. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-17212.

EPSS

Процентиль: 94%
0.14748
Средний

7.8 High

CVSS3

7.2 High

CVSS2