CVE-2024-43693

Atakujący wysyła specjalnie spreparowane żądanie HTTP POST do podmenu UTILITY w interfejsie konsoli ProGauge MAGLINK LX. Dane wejściowe zawarte w żądaniu nie są odpowiednio walidowane ani sanityzowane, co pozwala na wstrzyknięcie i wykonanie arbitralnych poleceń systemowych (CWE-77). Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani spełnienia szczególnych warunków sieciowych — wystarczy dostęp sieciowy do urządzenia.

Atakujący może wykonać dowolne polecenia z uprawnieniami procesu obsługującego żądania, co w praktyce może oznaczać pełne przejęcie kontroli nad urządzeniem, manipulację danymi pomiarowymi paliwa oraz potencjalny wpływ na infrastrukturę stacji paliwowej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (CISA ICS Advisory ICSA-24-268-04). Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu konsoli poprzez firewall lub segmentację sieci OT/ICS oraz odizolowanie urządzeń od publicznego Internetu.

Dover Fueling Solutions ProGauge MAGLINK LX Console (firmware i oprogramowanie konsoli) oraz ProGauge MAGLINK LX4 Console (firmware i oprogramowanie konsoli) — szczegółowe wersje wskazane w referencjach producenta (ICSA-24-268-04)

Podatność dotyczy systemów przemysłowych klasy ICS (sterowniki do zarządzania paliwem na stacjach benzynowych). CISA opublikowała dedykowane ostrzeżenie ICS Advisory ICSA-24-268-04. Ze względu na charakter infrastruktury krytycznej zalecana jest szczególna ostrożność przy ocenie ekspozycji urządzeń.