CVE-2024-43423

Producent wbudował w oprogramowanie układowe konto administracyjne z hasłem zakodowanym na stałe (hard-coded password), które nie może zostać zmienione przez administratora lub użytkownika systemu. Tego typu podatność (CWE-259, CWE-798) oznacza, że hasło jest identyczne we wszystkich egzemplarzach urządzenia. Atakujący, który pozna to hasło — np. poprzez analizę oprogramowania układowego lub z publicznie dostępnych źródeł — może bez przeszkód zalogować się do panelu administracyjnego przez sieć, bez potrzeby posiadania jakichkolwiek wcześniejszych uprawnień.

Atakujący uzyskuje pełny dostęp administracyjny do konsoli zarządzającej systemem pomiarowym paliwa, co może umożliwić manipulację danymi pomiarowymi, zmianę konfiguracji urządzenia lub zakłócenie działania infrastruktury stacji paliw.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik ICS CISA ICSA-24-268-04). Do czasu aktualizacji zaleca się izolację urządzeń od sieci publicznej, ograniczenie dostępu sieciowego do panelu webowego wyłącznie do zaufanych adresów IP oraz monitorowanie logów dostępu pod kątem nieautoryzowanych logowań.

Dover Fueling Solutions ProGauge MAGLINK LX Console (firmware i oprogramowanie) oraz ProGauge MAGLINK LX4 Console (firmware i oprogramowanie) — dokładne wersje wskazane w referencjach producenta (ICSA-24-268-04)

Podatność dotyczy systemów OT/ICS stosowanych w infrastrukturze stacji paliw (systemy pomiarowe zbiorników). Poradnik bezpieczeństwa został opublikowany przez CISA jako ICS Advisory ICSA-24-268-04.