CVE-2024-4708

W oprogramowaniu mySCADA myPRO zaszyte jest statyczne hasło (hard-coded password), które nie może zostać zmienione przez użytkownika w standardowy sposób. Atakujący posiadający wiedzę o tym haśle może uwierzytelnić się w systemie bez znajomości prawidłowych danych dostępowych. Po uzyskaniu dostępu możliwe jest zdalne wykonanie kodu (RCE) na urządzeniu, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika.

Atakujący może zdalnie wykonać dowolny kod na podatnym urządzeniu, co prowadzi do pełnej utraty poufności, integralności i dostępności systemu. W kontekście systemów przemysłowych SCADA może to skutkować zakłóceniem lub przejęciem kontroli nad procesami przemysłowymi.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w advisory CISA ICSA-24-184-02 (https://www.cisa.gov/news-events/ics-advisories/icsa-24-184-02) oraz na stronie producenta mySCADA.

mySCADA myPRO — wersje wskazane w referencjach producenta (advisory CISA ICSA-24-184-02)

Podatność dotyczy systemu klasy ICS/SCADA — advisory opublikowane przez CISA w ramach serii ICS Advisories (ICSA-24-184-02). Wektor ataku sieciowy bez wymaganych uprawnień i bez interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) znacząco podnosi ryzyko w środowiskach przemysłowych wystawionych na sieć.