BDU:2023-01064

Опубликовано: 08 сент. 2022

Источник: fstec

CVSS3: 6.1

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость реализации функции GOT Mobile программного обеспечения для графических панелей управления Mitsubishi Electric серии GOT2000 моделей GT27 и GT25 и HMI-платформы GT SoftGOT2000 связана с неверным ограничением визуализируемых слоев или фреймов пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку типа «захват клика» с помощью специально сформированной веб-страницы

Вендор

Mitsubishi Electric Corporation

Наименование ПО

GT27

GT25

GT SoftGOT2000

Версия ПО

от 01.14.000 до 01.47.000 включительно (GT27)

от 01.14.000 до 01.47.000 включительно (GT25)

от 1.265B до 1.285X включительно (GT SoftGOT2000)

Тип ПО

Микропрограммный код

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2022-021_en.pdf

Компенсирующие меры:

Рекомендуется отключить функцию GOT Mobile

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-40268
CVE

EPSS

Процентиль: 60%

0.00397

Низкий

6.1 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2022-40268

CVSS3: 6.1

nvd

около 3 лет назад

Improper Restriction of Rendered UI Layers or Frames vulnerability in Mitsubishi Electric Corporation GOT2000 Series GT27 model versions 01.14.000 to 01.47.000, Mitsubishi Electric Corporation GOT2000 Series GT25 model versions 01.14.000 to 01.47.000 and Mitsubishi Electric Corporation GT SoftGOT2000 versions 1.265B to 1.285X allows a remote unauthenticated attacker to lead legitimate users to perform unintended operations through clickjacking.

GHSA-8m2x-h2r6-695q

CVSS3: 4.7

github