BDU:2025-05288 (CVE-2025-2605) — уязвимость микропрограммного обеспечения панелей управления оборудованием Honeywell MB-Secure и MB-Secure PRO
По данным БДУ ФСТЭК России, по состоянию на 07.05.2025.
Критический — 9.9/10 Устранена
Уязвимость микропрограммного обеспечения панелей управления оборудованием Honeywell MB-Secure и MB-Secure PRO связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды с повышенными привилегиями
Кого касается и что делать
- Уязвимое ПО: MB-Secure (Honeywell International) — версии от 11.04 до 12.53; MB-Secure PRO (Honeywell International) — версии от 01.06 до 03.09
- Что делать: уязвимость устранена производителем — применить исправления: www.honeywell.com
Сведения об уязвимости
| Идентификаторы | BDU:2025-05288 · CVE-2025-2605 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.9; CVSS 2.0 — 9.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость микропрограммного обеспечения панелей управления оборудованием Honeywell MB-Secure и MB-Secure PRO, связанная с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнять произвольные команды с повышенными привилегиями |
| Даты | Опубликована: 07.05.2025 · Обновлена ФСТЭК: 07.05.2025 · Выявлена: 01.05.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем) |
| Тип ошибки | CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- MB-Secure (Honeywell International) — от 11.04 до 12.53 · ПО программно-аппаратных средств защиты, ПО программно-аппаратного средства АСУ ТП
- MB-Secure PRO (Honeywell International) — от 01.06 до 03.09 · ПО программно-аппаратных средств защиты, ПО программно-аппаратного средства АСУ ТП
Возможные меры по устранению уязвимости
Обновление. Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому устройству
- сегментирование сети для ограничения доступа к уязвимому устройству из других подсетей
- использование «белого» списка IP-адресов для ограничения доступа к уязвимому устройству
- использование виртуальных частных сетей для организации удаленного доступа (VPN)
- ограничение доступа к устройству из внешних сетей (Интернет).
Использование рекомендаций:
www.honeywell.com/content/dam/honeywellbt/en/documents/do…
