BDU:2022-07023

Опубликовано: 28 нояб. 2022

Источник: fstec

CVSS3: 7.8

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения вычислительных платформ Moxa серий UC-8100A-ME-T, UC-2100, UC-2100-W, UC-3100, UC-5100, UC-8100, UC-8100-ME-T, UC-8200, UC-8410A, UC-8580, UC-8540 IIoT-шлюза AIG-300, промышленного компьютера DA-662C-16-LX связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии

Вендор

Moxa Inc.

Наименование ПО

UC-8100A-ME-T Series

UC-2100 Series

UC-2100-W Series

UC-3100 Series

UC-5100 Series

UC-8100 Series

UC-8100-ME-T Series

UC-8200 Series

AIG-300

UC-8410A Series

UC-8580 Series

UC-8540 Series

DA-662C-16-LX

Версия ПО

от 1.0 до 1.6 включительно (UC-8100A-ME-T Series)

от 1.0 до 1.12 включительно (UC-2100 Series)

от 1.0 до 1.12 включительно (UC-2100-W Series)

от 1.0 до 1.6 включительно (UC-3100 Series)

от 1.0 до 1.4 включительно (UC-5100 Series)

от 3.0 до 3.5 включительно (UC-8100 Series)

от 3.0 до 3.1 включительно (UC-8100-ME-T Series)

от 1.0 до 1.5 включительно (UC-8200 Series)

от 1.0 до 1.4 включительно (AIG-300)

от 4.0.2 до 4.1.2 включительно (UC-8410A Series)

от 2.0 до 2.1 включительно (UC-8580 Series)

от 2.0 до 2.1 включительно (UC-8540 Series)

от 1.0.2 до 1.1.2 включительно (DA-662C-16-LX)

Тип ПО

Средство АСУ ТП

ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- работа от имени пользователя с минимальными воз-можными привилегиями.

Использование рекомендаций производителя:

https://www.moxa.com/en/support/product-support/security-advisory/arm-based-computer-improper-privilege-management-vulnerability

Порядок обновления (UC и DA – серий):

Для устройств, имеющих доступ в Интернет:

1. Подключиться к устройству и войти в систему с по-мощью оболочки Linux.

2. Ввести последовательно следующие команды, чтобы обновить уязвимый программный компонент (moxa-версию):

sudo apt update

sudo apt install --only-upgrade moxa-version

Для устройств, не имеющих доступ в Интернет:

1. Загрузить moxa-version_1.3.3+deb9_armhf.deb с ука-занного ниже сайта, используя компьютер с доступом в Интернет. https://debian.moxa.com/#debian/pool/main/m/moxa-version/

2. Перенести загруженный пакет на обновляемый ком-пьютер на базе Moxa Arm.

3. Установить загруженный пакет с помощью следую-щей команды:

dpkg -i moxa-version_1.3.3+deb9_armhf.deb

Порядок обновления (AIG-300):

С использованием прокси-сервера ThingsPro:

1. Загрузить актуальную версию утилиты ThingsPro Proxy с веб-сайта Moxa и установить ее на свой персо-нальный компьютер.

2. Следовать инструкциям в Руководстве пользователя ThingsPro Proxy для обновления устройств.

Для устройств, участвующих в программе предвари-тельного поддержки Moxa DLM Service:

1. Войти в свою учетную запись Moxa DLM Service.

2. Перейти в «Репозиторий — Программное обеспечение» и примените «Исправление безопасности AIG-301 для IPV-220803».

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.moxa.com/en/support/product-support/security-advisory/arm-based-computer-improper-privilege-management-vulnerability

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-3088
CVE

EPSS

Процентиль: 15%

0.00048

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2022-3088

CVSS3: 7.8

nvd

около 3 лет назад

UC-8100A-ME-T System Image: Versions v1.0 to v1.6, UC-2100 System Image: Versions v1.0 to v1.12, UC-2100-W System Image: Versions v1.0 to v 1.12, UC-3100 System Image: Versions v1.0 to v1.6, UC-5100 System Image: Versions v1.0 to v1.4, UC-8100 System Image: Versions v3.0 to v3.5, UC-8100-ME-T System Image: Versions v3.0 and v3.1, UC-8200 System Image: v1.0 to v1.5, AIG-300 System Image: v1.0 to v1.4, UC-8410A with Debian 9 System Image: Versions v4.0.2 and v4.1.2, UC-8580 with Debian 9 System Image: Versions v2.0 and v2.1, UC-8540 with Debian 9 System Image: Versions v2.0 and v2.1, and DA-662C-16-LX (GLB) System Image: Versions v1.0.2 to v1.1.2 of Moxa's ARM-based computers have an execution with unnecessary privileges vulnerability, which could allow an attacker with user-level privileges to gain root privileges.

GHSA-pw2f-v4vr-xg8w

CVSS3: 7.8

github

около 3 лет назад

UC-8100A-ME-T System Image: Versions v1.0 to v1.6, UC-2100 System Image: Versions v1.0 to v1.12, UC-2100-W System Image: Versions v1.0 to v 1.12, UC-3100 System Image: Versions v1.0 to v1.6, UC-5100 System Image: Versions v1.0 to v1.4, UC-8100 System Image: Versions v3.0 to v3.5, UC-8100-ME-T System Image: Versions v3.0 and v3.1, UC-8100A-ME-T System Image: Versions v1.0 to v1.6, UC-8200 System Image: v1.0 to v1.5, AIG-300 System Image: v1.0 to v1.4, UC-8410A with Debian 9 System Image: Versions v4.0.2 and v4.1.2, UC-8580 with Debian 9 System Image: Versions v2.0 and v2.1, UC-8540 with Debian 9 System Image: Versions v2.0 and v2.1, and DA-662C-16-LX (GLB) System Image: Versions v1.0.2 to v1.1.2 of Moxa's ARM-based computers have an execution with unnecessary privileges vulnerability, which could allow an attacker with user-level privileges to gain root privileges.

EPSS

Процентиль: 15%

0.00048

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2