BDU:2022-03321 (CVE-2022-30233) — уязвимость системы домашней автоматизации Wiser Smart программируемых логических контролеров Schneider Electric

По данным БДУ ФСТЭК России, по состоянию на 07.06.2022.

Уязвимость системы домашней автоматизации Wiser Smart программируемых логических контролеров Schneider Electric Wiser Controller EER21000 и Wiser Controller EER21001 связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии с помощью специально созданной вредоносной веб-страницы

Кого касается и что делать

• Уязвимое ПО: Wiser Smart (Schneider Electric) — версии до 4.5 включительно
• Что делать: уязвимость устранена производителем — применить исправления: download.schneider-electric.com

Сведения об уязвимости

Идентификаторы	BDU:2022-03321 · CVE-2022-30233
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на целостность
Наименование ФСТЭК	Уязвимость системы домашней автоматизации Wiser Smart программируемых логических контролеров Schneider Electric Wiser Controller EER21000 и Wiser Controller EER21001, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю повысить свои привилегии
Даты	Опубликована: 07.06.2022 · Обновлена ФСТЭК: 07.06.2022 · Выявлена: 10.05.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: организационные меры)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

• Wiser Smart (Schneider Electric) — до 4.5 включительно · программное средство АСУ ТП

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• download.schneider-electric.com/files
• Организационные меры
• • Контроллеры не должны иметь общедоступный или доступный в Интернете IP-адрес.
• • Не использовать переадресацию портов для доступа к продуктам из общедоступных сетей.
• • Сегментирование сети.
• • Использование наиболее надежного доступного шифрования Wi-Fi.
• • Соблюдение парольной политики.
• • Использование HTTPS в локальной сети.

Источники

• download.schneider-electric.com/files
• www.se.com/ww/en/download/document/SEVD-2022-130-03/