CVE-2024-2421

Podatność sklasyfikowana jako CWE-78 (OS Command Injection) pozwala nieuprawnionemu atakującemu na wstrzyknięcie i wykonanie dowolnych poleceń systemowych poprzez sieć, bez konieczności uwierzytelnienia. Złośliwe polecenia są wykonywane z podwyższonymi uprawnieniami, co oznacza, że atakujący uzyskuje szeroki dostęp do systemu operacyjnego urządzenia. Brak wymagania interakcji po stronie użytkownika oraz brak konieczności spełnienia specjalnych warunków wstępnych czyni tę podatność szczególnie groźną w środowiskach sieciowych.

Atakujący może przejąć pełną kontrolę nad systemem LenelS2 NetBox, wykonując dowolne polecenia z podwyższonymi uprawnieniami, co może prowadzić do naruszenia poufności, integralności i dostępności systemu kontroli dostępu oraz monitorowania zdarzeń.

Należy niezwłocznie zaktualizować system LenelS2 NetBox do wersji wyższej niż 5.6.1. Szczegółowe instrukcje dostępne są w poradniku producenta (CARR-PSA-2024-01) oraz w komunikacie ICS-CERT ICSA-24-151-01. Do czasu wdrożenia patcha zaleca się izolację urządzenia od niezaufanych segmentów sieci oraz ograniczenie dostępu sieciowego do systemu za pomocą firewall.

Honeywell LenelS2 NetBox w wersjach do 5.6.1 włącznie (prior to and including 5.6.1)

Podatność dotyczy systemu przemysłowego klasy ICS (kontrola dostępu fizycznego), co zostało potwierdzone przez ostrzeżenie CISA ICS-CERT (ICSA-24-151-01). Kompromitacja systemu może mieć konsekwencje wykraczające poza środowisko IT, obejmując bezpieczeństwo fizyczne chronionego obiektu.