Produkty rejestrujące i akwizycji danych firmy Yokogawa Electric Corporation zawierają niebezpieczne ustawienia domyślne — uwierzytelnianie jest domyślnie wyłączone. Każda osoba z dostępem sieciowym może bez żadnych poświadczeń uzyskać pełen dostęp do funkcji konfiguracyjnych i operacyjnych urządzeń.
▸ Pokaż oryginał (EN)
Insecure default settings have been found in recorder products provided by Yokogawa Electric Corporation. The default setting of the authentication function is disabled on the affected products. Therefore, when connected to a network with default settings, anyone can access all functions related to settings and operations. As a result, an attacker can illegally manipulate and configure important data such as measured values and settings. This issue affects GX10 / GX20 / GP10 / GP20 Paperless Recorders: R5.04.01 or earlier; GM Data Acquisition System: R5.05.01 or earlier; DX1000 / DX2000 / DX1000N Paperless Recorders: R4.21 or earlier; FX1000 Paperless Recorders: R1.31 or earlier; μR10000 / μR20000 Chart Recorders: R1.51 or earlier; MW100 Data Acquisition Units: All versions; DX1000T / DX2000T Paperless Recorders: All versions; CX1000 / CX2000 Paperless Recorders: All versions.
Błąd wynika z zastosowania niebezpiecznej konfiguracji domyślnej (CWE-1188): mechanizm uwierzytelniania jest fabrycznie wyłączony. Gdy urządzenie zostanie podłączone do sieci bez uprzedniej zmiany ustawień, nie wymaga żadnych poświadczeń do uzyskania dostępu do interfejsu zarządzania. Atakujący może zatem zdalnie, bez logowania, wykonywać wszelkie operacje dostępne dla autoryzowanego użytkownika — w tym odczytywać, modyfikować i usuwać dane pomiarowe oraz parametry konfiguracyjne.
Atakujący uzyskuje pełną, nieautoryzowaną kontrolę nad urządzeniem: może manipulować danymi pomiarowymi, zmieniać ustawienia krytyczne dla procesu oraz zakłócać pracę systemów akwizycji danych, co w środowiskach przemysłowych może prowadzić do poważnych konsekwencji operacyjnych i bezpieczeństwa.
Należy niezwłocznie włączyć funkcję uwierzytelniania na wszystkich podatnych urządzeniach zgodnie z wytycznymi producenta zawartymi w biuletynie YSAR-25-0001-E (https://web-material3.yokogawa.com/1/36974/files/YSAR-25-0001-E.pdf). Dla urządzeń oznaczonych jako 'wszystkie wersje' (MW100, DX1000T/DX2000T, CX1000/CX2000) należy zastosować patche dostępne u producenta zgodnie z referencjami lub zastosować kompensacyjne środki kontroli dostępu (segmentacja sieci, firewall, izolacja urządzeń od sieci publicznych). Do czasu zastosowania patchy urządzenia powinny być odizolowane od sieci zewnętrznych i dostępne wyłącznie z zaufanych segmentów sieciowych.
GX10 / GX20 / GP10 / GP20 Paperless Recorders: R5.04.01 i wcześniejsze; GM Data Acquisition System: R5.05.01 i wcześniejsze; DX1000 / DX2000 / DX1000N Paperless Recorders: R4.21 i wcześniejsze; FX1000 Paperless Recorders: R1.31 i wcześniejsze; μR10000 / μR20000 Chart Recorders: R1.51 i wcześniejsze; MW100 Data Acquisition Units: wszystkie wersje; DX1000T / DX2000T Paperless Recorders: wszystkie wersje; CX1000 / CX2000 Paperless Recorders: wszystkie wersje.
Podatność dotyczy urządzeń OT/ICS stosowanych w środowiskach przemysłowych. Biuletyn bezpieczeństwa producenta opublikowany jako YSAR-25-0001-E w dniu 2025-04-18. Część produktów (MW100, DX1000T/DX2000T, CX1000/CX2000) jest podatna we wszystkich wersjach oprogramowania, co sugeruje brak możliwości naprawy przez aktualizację — wymagane są środki kompensacyjne.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H