Podatność w systemie ABB FLXEON umożliwia zdalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami bez jakiejkolwiek autoryzacji. Otrzymała maksymalną ocenę CVSS 10.0, co czyni ją skrajnie krytycznym zagrożeniem dla infrastruktury przemysłowej.
▸ Pokaż oryginał (EN)
Network access can be used to execute arbitrary code with elevated privileges. This issue affects FLXEON 9.3.4 and older.
Atakujący posiadający dostęp sieciowy do urządzenia FLXEON może wysłać specjalnie spreparowane żądanie, które prowadzi do wykonania dowolnych poleceń systemowych (command injection, CWE-77). Podatność nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych warunków ataku. Wykonanie kodu następuje z podwyższonymi uprawnieniami, co daje atakującemu pełną kontrolę nad systemem.
Atakujący może zdalnie przejąć pełną kontrolę nad urządzeniem, wykonując dowolny kod z podwyższonymi uprawnieniami, co może prowadzić do naruszenia poufności, integralności i dostępności zarówno samego urządzenia, jak i połączonych z nim systemów.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (dokumentacja ABB o numerze 9AKK108470A5684). Do czasu wdrożenia aktualizacji zaleca się izolację urządzeń FLXEON od niezaufanych sieci oraz ograniczenie dostępu sieciowego do minimum poprzez firewall lub segmentację sieci.
ABB FLXEON w wersji 9.3.4 i starszych.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X