CVE-2025-22896

Aplikacja mySCADA myPRO Manager zapisuje dane uwierzytelniające (np. loginy i hasła) w sposób jawny — bez szyfrowania ani odpowiedniego zabezpieczenia (CWE-312: Cleartext Storage of Sensitive Information). Atakujący, który uzyska dostęp do plików konfiguracyjnych, pamięci aplikacji lub ruchu sieciowego, może odczytać te poświadczenia bez żadnego dodatkowego wysiłku kryptograficznego. Podatność jest dostępna zdalnie, nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika.

Atakujący może uzyskać dostęp do poświadczeń przechowywanych przez aplikację, a następnie wykorzystać je do nieautoryzowanego dostępu do systemów SCADA i powiązanej infrastruktury przemysłowej, co może prowadzić do poważnych naruszeń poufności danych systemowych i procesowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się pobranie zaktualizowanej wersji ze strony producenta (https://www.myscada.org/downloads/mySCADAPROManager/) oraz zapoznanie się z zaleceniami CISA opisanymi w poradniku ICSA-25-044-16. Dodatkowo rekomenduje się izolację systemów SCADA od sieci publicznych, ograniczenie dostępu do plików konfiguracyjnych oraz monitorowanie dostępu do wrażliwych zasobów.

mySCADA myPRO Manager — wersje wskazane w referencjach producenta (CISA ICS Advisory ICSA-25-044-16)

Podatność została opisana w poradniku ICS firmy CISA o numerze ICSA-25-044-16, opublikowanym 13 lutego 2025 roku, dotyczącym systemów sterowania przemysłowego (ICS). Wysoki wynik CVSS 9.2 wynika m.in. z wysokiego wpływu na poufność zarówno w kontekście systemu dotkniętego podatnością (VC:H), jak i systemów z nim powiązanych (SC:H).