BDU:2025-00556

Опубликовано: 10 дек. 2024

Источник: fstec

CVSS3: 7.1

CVSS2: 7.3

EPSS Низкий

Описание

Уязвимость программного обеспечения для создания проектов автоматизации Pro-Face GP-Pro EX и программного обеспечения удаленного мониторинга промышленных систем Pro-face Remote HMI связана с отсутствием проверки целостности сообщений при их передаче по каналу связи. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, реализовать атаку типа «человек посередине»

Вендор

Schneider Electric

Наименование ПО

Pro-Face GP-Pro EX

Pro-face Remote HMI

Версия ПО

- (Pro-Face GP-Pro EX)

- (Pro-face Remote HMI)

Тип ПО

Программное средство АСУ ТП

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1)

Средний уровень опасности (базовая оценка CVSS 4.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-014-06&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-014-06.pdf

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- использование пароля подключения (более подробная информация в справочном руководстве GP-Pro EX V4.0 в разделе «Remote Viewer - Pro-face Remote HMI»:

https://www.pro-face.com/otasuke/files/manual/gpproex/new/refer/gpproex.htm#t=mergedProjects%2Fremote%2Fremote_sg_remotehmi.htm&rhsearch=Remote%20HMI&rhhlterm=Remote%20HMI&ux=search);

- отключение функции Pro-face Remote HMI (более подробная информация в справочном руководстве GP-Pro EX V4.0 в разделе «Настройки Pro-face Remote HMI»: https://www.pro-face.com/otasuke/files/manual/gpproex/new/refer/gpproex.htm#t=mergedProjects%2Fremote%2Fremote_sg_remotehmi.htm&rhsearch=Remote%20HMI&rhhlterm=Remote%20HMI&ux=search).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-12399
CVE

EPSS

Процентиль: 17%

0.00053

Низкий

7.1 High

CVSS3

7.3 High

CVSS2

Связанные уязвимости

CVE-2024-12399

CVSS3: 7.1

nvd

около 1 года назад

CWE-924: Improper Enforcement of Message Integrity During Transmission in a Communication Channel vulnerability exists that could cause partial loss of confidentiality, loss of integrity and availability of the HMI when attacker performs man in the middle attack by intercepting the communication.

GHSA-5q3j-g5r8-6rfg

CVSS3: 7.1

github

около 1 года назад

EPSS

Процентиль: 17%

0.00053

Низкий

7.1 High

CVSS3

7.3 High

CVSS2