Podatność nieprawidłowego uwierzytelnienia w serwerach WWW urządzeń PDQ Manufacturing LaserWash i ProTouch pozwala atakującemu na ominięcie mechanizmów logowania. Zagrożenie jest krytyczne, ponieważ dotyczy przemysłowych systemów sterowania myjniami samochodowymi dostępnych przez sieć.
▸ Pokaż oryginał (EN)
An Improper Authentication issue was discovered in PDQ Manufacturing LaserWash G5 and G5 S Series all versions, LaserWash M5, all versions, LaserWash 360 and 360 Plus, all versions, LaserWash AutoXpress and AutoExpress Plus, all versions, LaserJet, all versions, ProTouch Tandem, all versions, ProTouch ICON, all versions, and ProTouch AutoGloss, all versions. The web server does not properly verify that provided authentication information is correct.
Serwer WWW wbudowany w urządzenia PDQ Manufacturing nie weryfikuje poprawnie dostarczonych danych uwierzytelniających (CWE-287 — Improper Authentication). Oznacza to, że atakujący może przesłać nieprawidłowe lub spreparowane dane logowania, a system mimo to przyzna dostęp. Atak może być przeprowadzony zdalnie, bez uprzedniej autoryzacji i bez interakcji ze strony użytkownika.
Atakujący może uzyskać nieautoryzowany dostęp do interfejsu zarządzania urządzeniem, co umożliwia manipulację konfiguracją systemu myjni, zakłócenie jego działania lub doprowadzenie do niedostępności usługi. Możliwe jest również częściowe ujawnienie danych konfiguracyjnych.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się izolację sieciową urządzeń ICS/SCADA od sieci publicznych, ograniczenie dostępu do interfejsu WWW wyłącznie do zaufanych adresów IP oraz monitorowanie ruchu sieciowego kierowanego do tych urządzeń. Szczegółowe zalecenia zawiera poradnik ICSA-17-208-03 opublikowany przez ICS-CERT.
Wszystkie wersje firmware następujących produktów PDQ Manufacturing: LaserWash G5 i G5 S Series, LaserWash M5, LaserWash 360 i 360 Plus, LaserWash AutoXpress i AutoExpress Plus, LaserJet, ProTouch Tandem, ProTouch ICON oraz ProTouch AutoGloss.
Podatność dotyczy systemów OT/ICS (przemysłowych systemów sterowania) stosowanych w automatycznych myjniach samochodowych. Poradnik bezpieczeństwa został opublikowany przez ICS-CERT (ICSA-17-208-03) w dniu 2017-08-07.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:HPdqinc Laserjet
HWPdqincwszystkie wersjePdqinc Laserjet Firmware
OSPdqincwszystkie wersjePdqinc Laserwash 360
HWPdqincwszystkie wersjePdqinc Laserwash 360 Firmware
OSPdqincwszystkie wersjePdqinc Laserwash 360 Plus
HWPdqincwszystkie wersjePdqinc Laserwash 360 Plus Firmware
OSPdqincwszystkie wersjePdqinc Laserwash Autoxpress
HWPdqincwszystkie wersjePdqinc Laserwash Autoxpress Firmware
OSPdqincwszystkie wersjePdqinc Laserwash Autoxpress Plus
HWPdqincwszystkie wersjePdqinc Laserwash Autoxpress Plus Firmware
OSPdqincwszystkie wersjePdqinc Laserwash G5
HWPdqincwszystkie wersjePdqinc Laserwash G5 Firmware
OSPdqincwszystkie wersjePdqinc Laserwash G5 S
HWPdqincwszystkie wersjePdqinc Laserwash G5 S Firmware
OSPdqincwszystkie wersjePdqinc Laserwash M5
HWPdqincwszystkie wersjePdqinc Laserwash M5 Firmware
OSPdqincwszystkie wersjePdqinc Protouch Autogloss
HWPdqincwszystkie wersjePdqinc Protouch Autogloss Firmware
OSPdqincwszystkie wersjePdqinc Protouch Icon
HWPdqincwszystkie wersjePdqinc Protouch Icon Firmware
OSPdqincwszystkie wersjePdqinc Protouch Tandem
HWPdqincwszystkie wersjePdqinc Protouch Tandem Firmware
OSPdqincwszystkie wersje