BDU:2024-10609 (CVE-2023-22322) — уязвимость программы управления контроллером движения OMRON CX-Motion Pro
По данным БДУ ФСТЭК России, по состоянию на 03.12.2024.
Средний — 5.5/10 Устранена
Уязвимость программы управления контроллером движения OMRON CX-Motion Pro связана с некорректным ограничением ссылок на внешние сущности XML (XXE). Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации, путем специально созданного файла проекта
Кого касается и что делать
- Уязвимое ПО: CX-Motion Pro (Omron Electronics) — версии до 1.4.6.013 включительно
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2024-10609 · CVE-2023-22322 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.9) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость программы управления контроллером движения OMRON CX-Motion Pro, связанная с некорректным ограничением ссылок на внешние сущности XML (XXE), позволяющая нарушителю получить доступ к защищаемой информации |
| Даты | Опубликована: 03.12.2024 · Обновлена ФСТЭК: 03.12.2024 · Выявлена: 24.01.2023 |
| Статус уязвимости | Подтверждена в ходе исследований (подтверждена исследователями безопасности) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-611 — неверное ограничение XML-ссылок на внешние объекты |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- CX-Motion Pro (Omron Electronics) — до 1.4.6.013 включительно · средство АСУ ТП
Возможные меры по устранению уязвимости
Обновление. Обновление программного обеспечение до версии CX-Motion Pro 1.4.6.014
Если пользователь откроет специально созданный нарушителем файл проекта, конфиденциальная информация в файловой системе, где установлена CX-Motion Pro, может быть раскрыта
