BDU:2023-03212

Опубликовано: 13 июн. 2023

Источник: fstec

CVSS3: 7.8

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость программного обеспечения для конфигурации HMI терминалов Schneider Electric EcoStruxure Operator Terminal Expert и программного обеспечения SCADA Pro-face BLUE связана с возможностью внедрения кода. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путём загрузки специально сформированного файла проекта

Вендор

Schneider Electric

Наименование ПО

EcoStruxure Operator Terminal Expert

Pro-face BLUE

Версия ПО

до 3.4 (EcoStruxure Operator Terminal Expert)

до 3.4 (Pro-face BLUE)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- установка пароля для ограничения возможности несанкционированного доступа нарушителя к файлу проекта;

- хранение файлов проекта в зашифрованном виде для ограничения возможности несанкционированного доступа;

- использование протоколов безопасной связи для передачи файлов проекта;

- открытие файлов проекта, полученных только из доверенных источников;

- использование EcoStruxure Operator Terminal Expert и SCADA Pro-face BLUE только в безопасном сетевом окружении;

- использование антивирусного программного обеспечения для проверки загружаемых файлов проекта.

Использование рекомендаций производителя:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-164-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-164-01.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-164-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-164-01.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-1049
CVE

EPSS

Процентиль: 28%

0.00101

Низкий

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVE-2023-1049

CVSS3: 7.8

nvd

больше 2 лет назад

A CWE-94: Improper Control of Generation of Code ('Code Injection') vulnerability exists that could cause execution of malicious code when an unsuspicious user loads a project file from the local filesystem into the HMI.

GHSA-63c6-hm8j-v6m9

CVSS3: 7.8

github

больше 2 лет назад

EPSS

Процентиль: 28%

0.00101

Низкий

7.8 High

CVSS3

7.2 High

CVSS2