BDU:2025-00417

Опубликовано: 04 дек. 2024

Источник: fstec

CVSS3: 8.6

CVSS2: 9

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340 и сетевых модулей BMXNOE0100, BMXNOE0110 и BMXNOR0200H связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обслуживании

Вендор

Schneider Electric

Наименование ПО

Modicon M340

BMXNOE0100

BMXNOE0110

BMXNOR0200H

Версия ПО

- (Modicon M340)

- (BMXNOE0100)

- (BMXNOE0110)

до SV1.70IR26 (BMXNOR0200H)

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Средство АСУ ТП

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,6)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-014-05&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-014-05.pdf

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- использование средств межсетевого экранирования для ограничения возможности подключения к FTP-порту 21/TCP;

- отключение служб веб-сервера и FTP через EcoStruxureTM Control Expert (отключается по умолчанию при создании нового приложения);

- настройка списка управления доступом в соответствии с рекомендацией «Кибербезопасность системы контроллеров Modicon» (более подробная инструкция описана в бюллетене:

https://download.schneider-electric.com/files?p_Doc_Ref=EIO0000001999&p_enDocType=User+guide&p_File_Name=EIO0000001999-12_Modicon_Controller_Cybersecurity.pdf)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-12142
CVE

EPSS

Процентиль: 40%

0.00187

Низкий

8.6 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2024-12142

CVSS3: 8.6

nvd

около 1 года назад

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor vulnerability exists that could cause information disclosure of restricted web page, modification of web page and denial of service when specific web pages are modified and restricted functions are invoked.

GHSA-9h4w-p78f-w2hw

CVSS3: 8.6

github

около 1 года назад

EPSS

Процентиль: 40%

0.00187

Низкий

8.6 High

CVSS3

9 Critical

CVSS2