BDU:2023-07891

Опубликовано: 14 нояб. 2023

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость программных средств создания панелей управления для систем управления электроэнергией EcoStruxure PowerSCADA Operation (PSO) - Advanced Reporting and Dashboards Module, EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module и программного обеспечения энергомониторинга EcoStruxure Power Monitoring Expert связана с непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный JavaScript-код

Вендор

Schneider Electric

Наименование ПО

EcoStruxure Power Monitoring Expert

EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module

EcoStruxure PowerSCADA Operation (PSO) - Advanced Reporting and Dashboards Module

Версия ПО

до 2020 CU3 (EcoStruxure Power Monitoring Expert)

до 2021 CU2 (EcoStruxure Power Monitoring Expert)

до 2020 CU3 (EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module)

до 2021 CU2 (EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module)

до 2020 CU3 (EcoStruxure PowerSCADA Operation (PSO) - Advanced Reporting and Dashboards Module)

Тип ПО

Программное средство АСУ ТП

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- блокирование неиспользуемых учетных записей пользователей;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;

- сегментирование сети для ограничения возможности доступа к промышленному сегменту из других подсетей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-318-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-318-02.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-318-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-318-02.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-5987
CVE

EPSS

Процентиль: 31%

0.0012

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2023-5987

CVSS3: 6.1

nvd

около 2 лет назад

A CWE-79 Improper Neutralization of Input During Web Page Generation (Cross-site Scripting) vulnerability that could cause a vulnerability leading to a cross site scripting condition where attackers can have a victim’s browser run arbitrary JavaScript when they visit a page containing the injected payload.

GHSA-f85w-wprq-6vjg

CVSS3: 6.1

github

около 2 лет назад

EPSS

Процентиль: 31%

0.0012

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2