BDU:2022-00669 (CVE-2022-22151) — уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS for HIS распределенных систем управления
По данным БДУ ФСТЭК России, по состоянию на 05.06.2023.
Средний — 5.9/10 Устранена
Уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS for HIS распределенных систем управления CENTUM VP и CENTUM VP Entry Class и OPC-сервера Exaopc связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или изменить лог-файлы на сервере с помощью специально сформированного пакета данных
Кого касается и что делать
- Уязвимое ПО: B/M9000CS (Yokogawa Electric) — версии от R5.04.01 до R5.05.01 включительно; B/M9000 VP (Yokogawa Electric) — версии от R6.01.01 до R8.03.01 включительно; Exaopc (Yokogawa Electric) — версии до R3.80.00; и ещё 4 позиции
- Что делать: уязвимость устранена производителем — применить исправления: web-material3.yokogawa.com
Сведения об уязвимости
| Идентификаторы | BDU:2022-00669 · CVE-2022-22151 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.9; CVSS 2.0 — 5.8) |
| Вектор CVSS 3.1 | AV:A/ атака из смежной сети, высокая сложность, без прав, требуется участие пользователя, ограниченное влияние на конфиденциальность и целостность, высокое влияние на доступность |
| Наименование ФСТЭК | Уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS for HIS распределенных систем управления CENTUM VP и CENTUM VP Entry Class и OPC-сервера Exaopc, позволяющая нарушителю вызвать отказ в обслуживании или изменить лог-файлы на сервере |
| Даты | Опубликована: 07.02.2022 · Обновлена ФСТЭК: 05.06.2023 · Выявлена: 07.01.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-116 — некорректное кодирование или сокрытие выходных данных; CWE-117 — неправильная обработка выходных данных для журналов регистрации |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами, инъекция |
Уязвимое ПО
- B/M9000CS (Yokogawa Electric) — от R5.04.01 до R5.05.01 включительно · программное средство АСУ ТП
- B/M9000 VP (Yokogawa Electric) — от R6.01.01 до R8.03.01 включительно · программное средство АСУ ТП
- Exaopc (Yokogawa Electric) — до R3.80.00 · программное средство АСУ ТП
- CENTUM CS 3000 (Yokogawa Electric) — от R3.08.10 до R3.09.00 включительно · ПО программно-аппаратного средства
- CENTUM CS 3000 Entry Class (Yokogawa Electric) — от R3.08.10 до R3.09.00 включительно · ПО программно-аппаратного средства
- CENTUM VP (Yokogawa Electric) — до R6.09.00 · программное средство АСУ ТП
- CENTUM VP Entry Class (Yokogawa Electric) — до R6.09.00 · программное средство АСУ ТП
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- web-material3.yokogawa.com/1/32094/files/YSAR-22-0001-E.pdf
