Уязвимость BDU:2022-05897

Дата: 20.09.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-05897.

Наименование уязвимости: Уязвимость веб-интерфейса микропрограммного обеспечения блоков управления Festo CPX-CEC-C1 и CPX-CMXX, позволяющая нарушителю вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость веб-интерфейса микропрограммного обеспечения блоков управления Festo CPX-CEC-C1 и CPX-CMXX связана с отсутствием аутентификации для критически важной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Уязвимое ПО: Средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП Festo SE & Co. KG Control block CPX-CEC-C1 до 2.0.12 включительно | Средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП Festo SE & Co. KG Control block CPX-CMXX до 1.2.34 rev.404 включительно |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 20.09.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:N/I:N/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению:
Компенсирующие меры:
— сегментирование сети с целью ограничения доступа к промышленному оборудованию из других сегментов;
— использование средств межсетевого экранирования для защиты сегмента промышленного оборудования;
— применение средств антивирусной защиты для защиты от атак с использованием вредоносного программного обеспечения;
— использование VPN при необходимости удаленного подключения;
— соблюдение парольной политики при организации доступа к промышленному оборудованию.

Организационные меры:
Замените CPX-CEC-C1 следующим продуктом CPX-CEC-C1-V3.
Замените CPX-CMXX следующим продуктом CPX-CEC-M1-V3.

Использование рекомендаций:
https://cert.vde.com/en/advisories/VDE-2022-036/.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Информация об устранении отсутствует
Идентификаторы других систем описаний уязвимости: CVE-2022-3079. VDE-2022-036.