Описание
Уязвимость программируемых логических контроллеров Merten KNX связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к устройству
Вендор
Schneider Electric
Наименование ПО
Merten INSTABUS Tastermodul 1fach System M 625199
Merten INSTABUS Tastermodul 2fach System M 625299
Merten Tasterschnittstelle 4fach plus 670804
Merten KNX Uni-Dimmaktor LL REG-K/2x230/300 W MEG6710-0002
Merten KNX ARGUS 180/2,20M UP SYSTEM 631725
Merten Jalousie-/Schaltaktor REG-K/8x/16x/10 m. HB 649908
Merten KNX Schaltakt.2x6A UP m.2 Eing. MEG6003-0002
Версия ПО
1.0 (Merten INSTABUS Tastermodul 1fach System M 625199)
1.0 (Merten INSTABUS Tastermodul 2fach System M 625299)
1.0 (Merten Tasterschnittstelle 4fach plus 670804)
2.0 (Merten Tasterschnittstelle 4fach plus 670804)
1.0 (Merten KNX Uni-Dimmaktor LL REG-K/2x230/300 W MEG6710-0002)
1.1 (Merten KNX Uni-Dimmaktor LL REG-K/2x230/300 W MEG6710-0002)
1.0 (Merten KNX ARGUS 180/2,20M UP SYSTEM 631725)
1.0 (Merten Jalousie-/Schaltaktor REG-K/8x/16x/10 m. HB 649908)
1.0 (Merten KNX Schaltakt.2x6A UP m.2 Eing. MEG6003-0002)
Тип ПО
Средство АСУ ТП
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,3)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- отключение режима «Program»;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;
- сегментирование сети с целью ограничения доступа к промышленному оборудованию из других подсетей;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-045-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-045-03.pdf
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 34%
0.00137
Низкий
8.3 High
CVSS3
8 High
CVSS2
Связанные уязвимости
CVSS3: 8.3
nvd
почти 3 года назад
A CWE-287: Improper Authentication vulnerability exists that could allow a device to be compromised when a key of less than seven digits is entered and the attacker has access to the KNX installation.
CVSS3: 8.3
github
почти 3 года назад
A CWE-287: Improper Authentication vulnerability exists that could allow a device to be compromised when a key of less than seven digits is entered and the attacker has access to the KNX installation.
EPSS
Процентиль: 34%
0.00137
Низкий
8.3 High
CVSS3
8 High
CVSS2