BDU:2022-04758 (CVE-2022-23128) — уязвимость программных средств мониторинга и управления рабочим процессом ICONICS Suite GENESIS64
По данным БДУ ФСТЭК России, по состоянию на 02.08.2022.
Критический — 9.8/10 Устранена
Уязвимость программных средств мониторинга и управления рабочим процессом ICONICS Suite, GENESIS64, Hyper Historian, Energy AnalytiX и MobileHMI связана с использованием неполного чёрного списка. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти процедуру аутентификации или получить несанкционированный доступ к устройству при помощи специально сформированных пакетов WebSocket на сервер FrameWorX
Кого касается и что делать
- Уязвимое ПО: ICONICS Suite (ICONICS) — версии от 10.95.3 до 10.97; GENESIS64 (ICONICS) — версии от 10.95.3 до 10.97; Hyper Historian (ICONICS) — версии от 10.95.3 до 10.97; и ещё 2 позиции
- Что делать: уязвимость устранена производителем — применить исправления: www.mitsubishielectric.com
Сведения об уязвимости
| Идентификаторы | BDU:2022-04758 · CVE-2022-23128 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость программных средств мониторинга и управления рабочим процессом ICONICS Suite, GENESIS64, Hyper Historian, Energy AnalytiX и MobileHMI, связанная с использованием неполного чёрного списка, позволяющая нарушителю обойти процедуру аутентификации или получить несанкционированный доступ к устройству |
| Даты | Опубликована: 02.08.2022 · Обновлена ФСТЭК: 02.08.2022 · Выявлена: 20.01.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-184 — неполный черный список |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: нарушение аутентификации |
Уязвимое ПО
- ICONICS Suite (ICONICS) — от 10.95.3 до 10.97 · прикладное ПО информационных систем
- GENESIS64 (ICONICS) — от 10.95.3 до 10.97 · сетевое программное средство, прикладное ПО информационных систем
- Hyper Historian (ICONICS) — от 10.95.3 до 10.97 · прикладное ПО информационных систем
- Energy AnalytiX (ICONICS) — от 10.95.3 до 10.97 · прикладное ПО информационных систем
- MobileHMI (ICONICS) — от 10.95.3 до 10.97 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций производителя
- www.mitsubishielectric.com/en/psirt/vulnerability/pdf/202…
