Описание
Уязвимость программного обеспечения энергомониторинга EcoStruxure Power Monitoring Expert, Power Operation связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить SSRF-атаку
Вендор
Schneider Electric
Наименование ПО
EcoStruxure Power Monitoring Expert
EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module
Версия ПО
2023 (EcoStruxure Power Monitoring Expert)
2024 R2 (EcoStruxure Power Monitoring Expert)
2024 (EcoStruxure Power Monitoring Expert)
2022 (EcoStruxure Power Monitoring Expert)
2022 w/ Advanced Reporting Module (EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module)
2024 w/ Advanced Reporting Module (EcoStruxure PowerOperation (EPO) - Advanced Reporting and Dashboards Module)
Тип ПО
Программное средство АСУ ТП
Средство АСУ ТП
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- сегментирование сети с целью ограничения доступа к уязвимому программному обеспечению из других подсетей;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- ограничение доступа из внешних сетей (Интернет);
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
https://www.se.com/ww/en/work/support/cybersecurity/security-notifications.jsp
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
- ICSA
EPSS
Процентиль: 23%
0.00075
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
nvd
6 месяцев назад
CWE-918: Server-Side Request Forgery (SSRF) vulnerability exists that could cause unauthorized access to sensitive data when an attacker sends a specially crafted document to a vulnerable endpoint.
CVSS3: 7.5
github
6 месяцев назад
CWE-918: Server-Side Request Forgery (SSRF) vulnerability exists that could cause unauthorized access to sensitive data when an attacker sends a specially crafted document to a vulnerable endpoint.
EPSS
Процентиль: 23%
0.00075
Низкий
7.5 High
CVSS3
7.8 High
CVSS2