BDU:2023-00465

Опубликовано: 10 янв. 2023

Источник: fstec

CVSS3: 4.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость SCADA-систем EcoStruxure Geo SCADA Expert 2020, EcoStruxure Geo SCADA Expert 2019 и EcoStruxure Geo SCADA Expert 2021 связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию

Вендор

Schneider Electric

Наименование ПО

EcoStruxure Geo SCADA Expert 2019

EcoStruxure Geo SCADA Expert 2020

EcoStruxure Geo SCADA Expert 2021

Версия ПО

до 10.2022 (EcoStruxure Geo SCADA Expert 2019)

до 10.2022 (EcoStruxure Geo SCADA Expert 2020)

до 10.2022 (EcoStruxure Geo SCADA Expert 2021)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа по порту 5481 (используется по умолчанию для подключения к базе данных);

- включение функционала проверки сертификатов клиентов при подключении;

- отключение настройки «Разрешить гостевому пользователю выполнять SQL»;

- ограничение доступа к сервисному 443-порту;

- ограничение возможности подключения к SCADA-системе путем внедрения механизма «белых» списков;

- использование средств межсетевого экранирования;

- ограничение подключения SCADA-систем к сетям общего пользования (Интернет);

- сегментирование сети с целью ограничения доступа к оборудованию из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://download.schneider-electric.com/files?p_File_Name=SEVD-2023-010-02_Geo_SCADA_Security_Notification.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://download.schneider-electric.com/files?p_File_Name=SEVD-2023-010-02_Geo_SCADA_Security_Notification.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-22611
CVE

EPSS

Процентиль: 62%

0.00424

Низкий

4.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2023-22611

CVSS3: 7.5

nvd

около 3 лет назад

A CWE-200: Exposure of Sensitive Information to an Unauthorized Actor vulnerability exists that could cause information disclosure when specific messages are sent to the server over the database server TCP port. Affected Products: EcoStruxure Geo SCADA Expert 2019 - 2021 (formerly known as ClearSCADA) (Versions prior to October 2022)

GHSA-fp8q-744c-xpg4