Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-01157

Опубликовано: 27 сент. 2022
Источник: fstec
CVSS3: 6.1
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость веб-интерфейса управления микропрограммного обеспечения промышленных коммутаторов Siemens SCALANCE существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Aruba Networks
Siemens AG

Наименование ПО

ArubaOS
Aruba Instant
SCALANCE W1750D

Версия ПО

от 10.3.0.0 до 10.3.1.1 (ArubaOS)
от 6.4.0.0 до 6.4.4.8-4.2.4.21 (Aruba Instant)
от 6.5.0.0 до 6.5.4.24 (Aruba Instant)
от 8.6.0.0 до 8.6.0.19 (Aruba Instant)
от 8.7.0.0 до 8.7.1.10 (Aruba Instant)
от 8.10.0.0 до 8.10.0.2 (Aruba Instant)
до 8.7.1.11 (SCALANCE W1750D)

Тип ПО

Операционная система
ПО сетевого программно-аппаратного средства
ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- включение CPSEC через команду cluster-security;
- использование средств межсетевого экранирования с целью ограничения доступа к устройству из внешних сетей (Интернет);
- сегментирование сетей для ограничения доступа к промышленному оборудованию из других подсетей;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
Для Aruba Networks InstantOS:
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2022-014.txt
Для продуктов Siemens:
https://cert-portal.siemens.com/productcert/pdf/ssa-506569.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 51%
0.00282
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

nvd логотип

CVE-2022-37896

CVSS3: 6.1
nvd
больше 3 лет назад

A vulnerability in the Aruba InstantOS and ArubaOS 10 web management interface could allow a remote attacker to conduct a reflected cross-site scripting (XSS) attack against a user of the interface. A successful exploit could allow an attacker to execute arbitrary script code in a victim’s browser in the context of the affected interface of Aruba InstantOS 6.4.x: 6.4.4.8-4.2.4.20 and below; Aruba InstantOS 6.5.x: 6.5.4.23 and below; Aruba InstantOS 8.6.x: 8.6.0.18 and below; Aruba InstantOS 8.7.x: 8.7.1.9 and below; Aruba InstantOS 8.10.x: 8.10.0.1 and below; ArubaOS 10.3.x: 10.3.1.0 and below; Aruba has released upgrades for Aruba InstantOS that address this security vulnerability.

github логотип

GHSA-9pqp-62pc-c8g4

CVSS3: 6.1
github
больше 2 лет назад

A vulnerability in the Aruba InstantOS and ArubaOS 10 web management interface could allow a remote attacker to conduct a reflected cross-site scripting (XSS) attack against a user of the interface. A successful exploit could allow an attacker to execute arbitrary script code in a victim’s browser in the context of the affected interface of Aruba InstantOS 6.4.x: 6.4.4.8-4.2.4.20 and below; Aruba InstantOS 6.5.x: 6.5.4.23 and below; Aruba InstantOS 8.6.x: 8.6.0.18 and below; Aruba InstantOS 8.7.x: 8.7.1.9 and below; Aruba InstantOS 8.10.x: 8.10.0.1 and below; ArubaOS 10.3.x: 10.3.1.0 and below; Aruba has released upgrades for Aruba InstantOS that address this security vulnerability.

EPSS

Процентиль: 51%
0.00282
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2