CVE-2024-45274

Podatność wynika z braku wymaganego uwierzytelnienia (CWE-306) dla funkcji przyjmującej polecenia przez UDP. Atakujący z dostępem sieciowym do urządzenia może wysyłać spreparowane pakiety UDP zawierające polecenia systemowe, które są wykonywane bezpośrednio przez system operacyjny urządzenia. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani wcześniejszego dostępu do systemu.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemu operacyjnego, co skutkuje naruszeniem poufności, integralności oraz dostępności systemu. W kontekście urządzeń przemysłowych (industrial gateway/router) może to prowadzić do zakłócenia procesów operacyjnych lub wykorzystania urządzenia jako punktu wejścia do sieci OT.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/en/advisories/VDE-2024-056 oraz https://cert.vde.com/en/advisories/VDE-2024-066). Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do urządzeń poprzez firewall lub segmentację sieci oraz zablokowanie nieautoryzowanego ruchu UDP do tych urządzeń.

Urządzenia Mbconnectline Mbnet.Mini (firmware) oraz Helmholz Rex 100 (firmware) — konkretne wersje wskazane w referencjach producenta (CERT VDE advisories VDE-2024-056 i VDE-2024-066)

Podatność została opisana w publicznym advisory SySS (SYSS-2024-063) oraz opublikowana na liście full-disclosure, co oznacza publiczną dostępność szczegółów technicznych.