BDU:2024-11012

Опубликовано: 10 дек. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения программируемых логических контроллеров (ПЛК) Schneider Electric M241, M251, M258, LMC058 связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ обслуживании и оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

Schneider Electric

Наименование ПО

Modicon M241

Modicon M251

Modicon M258

Modicon LMC058

Версия ПО

- (Modicon M241)

- (Modicon M251)

- (Modicon M258)

- (Modicon LMC058)

Тип ПО

Программное средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа к ПЛК;

- ограничение возможности подключений к ПЛК по 502 TCP-порту;

- активация функционала защиты памяти в настройках ПЛК;

- использование «белого» списка IP-адресов для организации удалённого доступа к ПЛК;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- ограничение доступа к ПЛК из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2024-345-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2024-345-03.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2024-345-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2024-345-03.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-11737
CVE

EPSS

Процентиль: 56%

0.0034

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-11737

CVSS3: 9.8

nvd

около 1 года назад

CWE-20: Improper Input Validation vulnerability exists that could lead to a denial of service and a loss of confidentiality, integrity of the controller when an unauthenticated crafted Modbus packet is sent to the device.

GHSA-j45x-3v7g-qxh8

CVSS3: 9.8

github

около 1 года назад

EPSS

Процентиль: 56%

0.0034

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2