BDU:2023-03081

Опубликовано: 01 июн. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость промышленной системы управления энергопотреблением DIAEnergie связана с использованием предустановленных учетных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём загрузки исполняемых файлов в определённые каталоги

Вендор

Delta Electronics, Inc.

Наименование ПО

DIAEnergie

Версия ПО

до 1.9.03.009 включительно (DIAEnergie)

Тип ПО

Программное средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа из внешних сетей (Интернет);

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;

- сегментирование сети с целью ограничения доступа к промышленному сегменту из других подсетей;

- использование VPN для организации удалённого доступа.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.cisa.gov/news-events/ics-advisories/icsa-22-256-03

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 88%

0.04226

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-3214

CVSS3: 9.8

nvd

больше 3 лет назад

Delta Industrial Automation's DIAEnergy, an industrial energy management system, is vulnerable to CWE-798, Use of Hard-coded Credentials. Versions prior to 1.9.03.009 have this vulnerability. Executable files could be uploaded to certain directories using hard-coded bearer authorization, allowing remote code execution.

GHSA-jffp-ghx6-2288

CVSS3: 9.8

github

больше 3 лет назад

Delta Industrial Automation's DIAEnergy, an industrial energy management system, is vulnerable to CWE-798, Use of Hard-coded Credentials. Version 1.8.0 and prior have this vulnerability. Executable files could be uploaded to certain directories using hard-coded bearer authorization, allowing remote code execution.

EPSS

Процентиль: 88%

0.04226

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2