BDU:2021-05354 (CVE-2021-38432) — уязвимость сервера Fatek Automation Communication Server

По данным БДУ ФСТЭК России, по состоянию на 10.11.2021.

Уязвимость сервера Fatek Automation Communication Server связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код путем отправки специально созданных запросов

Кого касается и что делать

• Уязвимое ПО: Communication Server (FATEK Automation) — версии до 1.13 включительно
• Что делать: применить компенсирующие меры (см. раздел мер ниже)

Сведения об уязвимости

Идентификаторы	BDU:2021-05354 · CVE-2021-38432
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость сервера Fatek Automation Communication Server, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Даты	Опубликована: 10.11.2021 · Обновлена ФСТЭК: 10.11.2021 · Выявлена: 11.06.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет; способ: организационные меры)
Тип ошибки	CWE-121 — переполнение буфера в стеке
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

• Communication Server (FATEK Automation) — до 1.13 включительно · сетевое программное средство

Возможные меры по устранению уязвимости

Рекомендуется использовать аналогичный программный продукт

Источники

• vuldb.com/?id.184475
• www.zerodayinitiative.com/advisories/ZDI-21-1164/
• www.cybersecurity-help.cz/vdb/SB2021100804
• us-cert.cisa.gov/ics/advisories/icsa-21-280-07