CVE-2023-4149

WAGO 0852 — command injection w panelu zarządzania WWW (root RCE)

CVSS 9.8v3.1pub. 2023-11-21upd. 2024-11-21

Podatność typu command injection w interfejsie zarządzania WWW urządzeń WAGO serii 0852 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Polecenia wykonywane są z uprawnieniami root, co oznacza pełne przejęcie kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

A vulnerability in the web-based management allows an unauthenticated remote attacker to inject arbitrary system commands and gain full system control. Those commands are executed with root privileges. The vulnerability is located in the user request handling of the web-based management.

🤖 Analiza AI

Jak działa

Podatność znajduje się w module obsługi żądań użytkownika w webowym interfejsie zarządzania. Atakujący wysyła specjalnie spreparowane żądanie HTTP do panelu WWW bez konieczności uwierzytelniania. Niezwalidowane dane wejściowe są przekazywane bezpośrednio do wywołań systemowych (CWE-78), co pozwala na wstrzyknięcie i wykonanie dowolnych poleceń powłoki z uprawnieniami root.

Skutki

Atakujący uzyskuje pełną kontrolę nad systemem operacyjnym urządzenia z uprawnieniami root — może odczytywać i modyfikować dane, instalować złośliwe oprogramowanie, zakłócać działanie urządzenia lub wykorzystać je jako punkt wejścia do dalszej kompromitacji sieci przemysłowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/en/advisories/VDE-2023-037). Do czasu wdrożenia poprawki zaleca się odizolowanie interfejsu zarządzania WWW od sieci niezaufanych oraz ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Urządzenia WAGO: 0852-0602 (firmware), 0852-0603 (firmware), 0852-1605 (firmware) — konkretne wersje firmware wskazane w referencjach producenta (cert.vde.com VDE-2023-037)