BDU:2025-03697

Опубликовано: 20 мар. 2025

Источник: fstec

CVSS3: 9.1

CVSS2: 9

EPSS Низкий

Описание

Уязвимость функции ADI веб-интерфейса программного средства автоматизации и учета Verve Asset Manager связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды в контексте Agentless Device Inventory

Вендор

Rockwell Automation Inc.

Наименование ПО

Verve Asset Manager

Версия ПО

до 1.40 (Verve Asset Manager)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF);

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости.

Использование рекомендаций:

https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1723.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1723.html

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-1449
CVE

EPSS

Процентиль: 57%

0.00353

Низкий

9.1 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2025-1449

nvd

10 месяцев назад

A vulnerability exists in the Rockwell Automation Verve Asset Manager due to insufficient variable sanitizing. A portion of the administrative web interface for Verve's Legacy Agentless Device Inventory (ADI) capability (deprecated since the 1.36 release) allows users to change a variable with inadequate sanitizing. If exploited, it could allow a threat actor with administrative access to run arbitrary commands in the context of the container running the service.

GHSA-7q53-677j-j7m3

github