BDU:2023-06574

Опубликовано: 19 сент. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость реализации протокола FINS программируемых логических контроллеров Omron серий CJ/CS/CP связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, реализовать атаку методом «грубой силы» (brute force)

Вендор

Omron Electronics LLC

Наименование ПО

Smart Security Manager

Omron CJ2H-CPU (-EIP)

Omron CJ2M-CPU

Omron CJ1G-CPU P

Omron CS1H/G-CPU H

Omron CS1D-CPU H

Omron CS1D -CPU P

Omron CS1D-CPU S

Omron CP1E-E

Omron CP1E -N

Версия ПО

от 1.4 до 1.31 (Smart Security Manager)

до 1.5 включительно (Smart Security Manager)

до 1.4 включительно (Omron CJ2H-CPU (-EIP))

до 2,0 включительно (Omron CJ2M-CPU)

до 4.0 включительно (Omron CJ1G-CPU P)

до 4.0 включительно (Omron CS1H/G-CPU H)

до 1.3 включительно (Omron CS1D-CPU H)

до 1.3 включительно (Omron CS1D -CPU P)

до 2.0 включительно (Omron CS1D-CPU S)

до 1.2 включительно (Omron CP1E-E)

до 1.2 включительно (Omron CP1E -N)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Обновление программного обеспечения до актуальной версии

Компенсирущие меры:

- использование средств антивирусной защиты с функцией контроля доступа к веб-ресурсам;

- ограничение доступа к оборудованию из общедоступных сетей (Интернет);

- сегментирование сети с целью ограничения доступа к оборудованию из других подсетей;

- использование средств межсетевого экранирования;

- использование VPN для организации удаленного доступа;

- соблюдение парольной политики, принятой в организации;

- доступ к системам контроля и оборудованию только допущенного персонал;

- контроль непреднамеренного изменения входных/выходных данных в системы и устройства управления;

- периодическое резервное копирование данных

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 59%

0.00389

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2022-45790

CVSS3: 8.6

nvd

около 2 лет назад

The Omron FINS protocol has an authenticated feature to prevent access to memory regions. Authentication is susceptible to bruteforce attack, which may allow an adversary to gain access to protected memory. This access can allow overwrite of values including programmed logic.

GHSA-c7q6-prxw-fgx7