BDU:2022-07187 (CVE-2022-26419) — уязвимость программного пакета для создания системы позиционного управления CX-Position

По данным БДУ ФСТЭК России, по состоянию на 09.12.2022.

Уязвимость программного пакета для создания системы позиционного управления CX-Position, входящего в комплект программного обеспечения Omron CX-One связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного файла

Кого касается и что делать

• Уязвимое ПО: Omron CX-Position (Omron Electronics) — версии до 2.5.4
• Что делать: уязвимость устранена производителем — применить исправления: www.cisa.gov

Сведения об уязвимости

Идентификаторы	BDU:2022-07187 · CVE-2022-26419
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.8; CVSS 2.0 — 7.2)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H нужен локальный доступ, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость программного пакета для создания системы позиционного управления CX-Position, входящего в комплект программного обеспечения Omron CX-One, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 09.12.2022 · Обновлена ФСТЭК: 09.12.2022 · Выявлена: 29.03.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-121 — переполнение буфера в стеке; CWE-787 — запись за границами буфера
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

• Omron CX-Position (Omron Electronics) — до 2.5.4 · средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• www.cisa.gov/uscert/ics/advisories/icsa-22-088-02

Источники

• www.cisa.gov/uscert/ics/advisories/icsa-22-088-02
• www.zerodayinitiative.com/advisories/ZDI-22-575/
• www.zerodayinitiative.com/advisories/ZDI-22-576/
• www.zerodayinitiative.com/advisories/ZDI-22-579/
• www.zerodayinitiative.com/advisories/ZDI-22-580/