Идентификатор: BDU:2022-03006.
Наименование уязвимости: Уязвимость функции AddCell веб-сервера микропрограммного обеспечения модулей станций автоматизации помещений Desigo PXC4 и PXC5, позволяющая нарушителю выполнить произвольный код путем внедрения специально сформированного XML в файл отчёта XLS.
Описание уязвимости: Уязвимость функции AddCell веб-сервера микропрограммного обеспечения модулей станций автоматизации помещений Desigo PXC4 и PXC5 связана с ошибками при нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путем внедрения специально сформированного XML в файл отчёта XLS
Уязвимое ПО: Средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП Siemens AG Desigo PXC4 02.20.142.10-10884 | Средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП Siemens AG Desigo PXC5 02.20.142.10-10884 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 10.05.2022.
CVSS 2.0: AV:N/AC:L/Au:S/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
использование входных данных только из доверенных источников;
– использование средств межсетевого экранирования уровня приложений с целью ограничения доступа к устройству;
– сегментирование сети с целью предотвращения несанкционированного доступа к промышленному оборудованию;
– ограничение доступа к устройству из общедоступных сетей (Интернет).
Информация от разработчика:
https://cert-portal.siemens.com/productcert/pdf/ssa-626968.pdf.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-24039.
Тип ошибки CWE: CWE-75
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://cert-portal.siemens.com/productcert/pdf/ssa-626968.pdf
https://nvd.nist.gov/vuln/detail/CVE-2022-24039
