BDU:2022-07514

Опубликовано: 07 окт. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость веб-интерфейса управления микропрограммного обеспечения промышленных коммутаторов Siemens SCALANCE связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Siemens AG

Aruba Networks

Наименование ПО

SCALANCE W1750D

ArubaOS

InstantOS

Версия ПО

- (SCALANCE W1750D)

от 10.3.0.0 до 10.3.1.1 (ArubaOS)

от 4.2.4.21 до 6.4.4.8 (InstantOS)

от 6.5.0.0 до 6.5.4.24 (InstantOS)

от 8.6.0.0 до 8.6.0.19 (InstantOS)

от 8.7.0.0 до 8.7.1.10 (InstantOS)

от 8.10.0.0 до 8.10.0.2 (InstantOS)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Операционная система

Операционные системы и аппаратные платформы

Aruba Networks ArubaOS от 10.3.0.0 до 10.3.1.1

Aruba Networks InstantOS от 4.2.4.21 до 6.4.4.8

Aruba Networks InstantOS от 6.5.0.0 до 6.5.4.24

Aruba Networks InstantOS от 8.6.0.0 до 8.6.0.19

Aruba Networks InstantOS от 8.7.0.0 до 8.7.1.10

Aruba Networks InstantOS от 8.10.0.0 до 8.10.0.2

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- включение CPSEC через команду cluster-security;

- использование средств межсетевого экранирования с целью ограничения доступа к устройству из внешних сетей (Интернет);

- сегментирование сетей для ограничения доступа к промышленному оборудованию из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

Для продуктов Siemens:

https://cert-portal.siemens.com/productcert/pdf/ssa-506569.pdf

Для Aruba Networks:

https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2022-014.txt

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-37891
CVE

EPSS

Процентиль: 83%

0.01881

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-37891

CVSS3: 9.8

nvd

больше 3 лет назад

Unauthenticated buffer overflow vulnerabilities exist within the Aruba InstantOS and ArubaOS 10 web management interface. Successful exploitation results in the execution of arbitrary commands on the underlying operating system of Aruba InstantOS 6.4.x: 6.4.4.8-4.2.4.20 and below; Aruba InstantOS 6.5.x: 6.5.4.23 and below; Aruba InstantOS 8.6.x: 8.6.0.18 and below; Aruba InstantOS 8.7.x: 8.7.1.9 and below; Aruba InstantOS 8.10.x: 8.10.0.1 and below; ArubaOS 10.3.x: 10.3.1.0 and below; Aruba has released upgrades for Aruba InnstantOS that address these security vulnerabilities.

GHSA-q875-f378-jxgr

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 83%

0.01881

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2